Други WAN VPN улаз не ради док примарни и даље ради

Примарни тунел остаје подигнут, корисници настављају да раде, а други ISP круг стоји неискоришћен шта год променили. Објавили сте адресу за резервни круг, усмерили на њу име, можда додали резервни улаз у клијента, а клијент га или никада не покуша или се аутентификује и затим падне. У случајевима које сам пратио, функција пребацивања је обично била у реду; недостајала је једна од пет ствари које улаз чине употребљивим. Име се може разрешити на резервну адресу док на том интерфејсу ништа не слуша, а слушалац може прихватити везу док одговор излази кроз примарни. Третирајте сваки WAN као засебан улаз са сопственим уговором и квар престаје да изгледа као грешка клијента.

Сваки WAN захтева сопствени уговор улаза

Забележите пет поља по WAN-у: јавно име и адресу, транспорт и порт, интерфејс или контекст који га завршава, идентитет партнера који треба да представи и место одакле одговор излази. Два круга значе два комплетна скупа. Ако други скуп нема завршни интерфејс или повратну путању, немате резервни улаз; имате DNS запис који описује намеру.

Уређај и његова верзија такође морају да подрже такав распоред. DNS запис не може да отвори услугу на другом интерфејсу, а на многим платформама слушалац се конфигурише по адреси, а не по уређају. IPsec заснован на интерфејсу на ASA-и везује крипто мапе и групе тунела за спољни интерфејс, па други uplink захтева политику тамо где ти пакети заиста стижу. Решења заснована на рутама понашају се другачије: слушалац може да се веже за сваку адресу или за једну именовану адресу, а тај избор одлучује да ли ISP B уопште може да одговори.

Проверите да ли други WAN заиста одговара

Тестирајте изван оба круга, не са машине иза гејтвеја, и тестирајте тачно име које користи клијентски профил. За TLS слушалац брза провера је openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts покренута са хоста изван ваше мреже. Желите завршено руковање чији ланац одговара имену у профилу, а не само TCP порт који прихвата везу.

RFC 9525 објашњава шта клијент проверава: идентитет до којег је намеравао да стигне, упоређен са сертификатом који услуга представља. Други улаз који враћа сертификат примарног улаза, или подразумевани сертификат који не наводи ниједно од имена, пада на овом тесту иако је порт отворен и заштитни зид га пропушта.

Два обрасца објашњавају већину кварова овде. Веза која виси обично значи да нема слушаоца на том интерфејсу, правило приступа које дозвољава само примарне подмреже, или уређај оператера испред другог круга који одбацује порт. Руковање које се заврши са погрешним идентитетом обично значи другу тачку поверења, подразумевани виртуелни хост или конфигурацију копирану са примарног без прилагођавања идентитета.

Пратите одговор, не само захтев

Други WAN се обично ломи на повратном путу. Захтев стиже преко ISP B, уређај одговара, а одговор излази кроз подразумевану руту на ISP A са изворном адресом коју клијент никада није тражио. Превођење са стањем погоршава ствар: ако је мапирање направљено за примарни интерфејс, повратни пакет промашује превођење или носи извор који заштитни зид клијента одбацује. Провајдери такође одбацују изворне адресе које не припадају кругу који су вам дали, зато ово изгледа као једносмерна црна рупа, а не као чиста протоколна грешка.

Проверите одлуку о рутирању за саобраћај чији је извор други улаз. Одговор треба да изађе кроз интерфејс на који је захтев стигао, или барем да носи адресу коју далека страна прихвата као припадајућу том путу. На платформама са рутирањем политике то значи правило везано за улазни интерфејс или преведени извор, плус изјаву о превођењу везану за сваки спољни интерфејс. Снимајте истовремено на оба интерфејса док се клијент повезује; SYN који стиже преко ISP B и SYN-ACK који излази преко ISP A решавају питање у једном пролазу.

Дајте клијенту начин да сазна за други улаз

Пребацивање је одлука на страни клијента, и свака клијентска фамилија учи о алтернативама на свој начин. На ASA-и листа резервних сервера се доставља кроз webvpn атрибуте групне политике, док други клијенти очекују листу унутар профила или ручни други профил који корисник изабере. Cisco водич за политике веза описује и информације о резерви конфигурисане у клијенту и оне које пружа гејтвеј, а ти детаљи специфични за протокол не треба да се уопштавају на сваког клијента или режим тунела. Потврдите који механизам примењени клијент примењује пре него што изградите други улаз око погрешног.

Који год механизам био, клијент мора да може да разреши алтернативно име пре него што изгуби примарни пут. Та зависност је оно што људи пропуштају: ако резервно име одговара резолвер доступан само кроз тунел који је управо отказао, резерва не може ни да почне. Објавите друго име у резолверу који одговара локално или преко интернета. Очекујте нову аутентификацију и нову сесију апликације након премештања, јер клијентско пребацивање није пребацивање са стањем и дуготрајне сесије га не преживљавају.

Једна адреса код два провајдера је други производ

Држати једну јавну адресу доступном кроз оба круга је услуга рутирања, а не поље за потврду у VPN-у. Потребан јој је адресни простор који су оба провајдера вољна да преносе, објављен тако да га њихове мреже прихвате, а то даје мултихоуминг са простором независним од провајдера и BGP. Додела адресе ISP A интерфејсу ISP B не води тамо; пакет стиже у мрежу која никада није објавила тај префикс и бива одбачен узводно.

Ништа од овога вам не треба да објавите два улаза. Ако клијент може да држи два имена и пребацује се између њих, два независна улаза су довољна, и избегавате AS број, договор о пирингу и префикс који мора бити прихваћен свуда. Размотрите опцију преносне адресе само када вам заиста треба једна стабилна улазна тачка коју клијенти не могу да замене преконфигурацијом, или када је пребацивање засновано на DNS-у са својим TTL кашњењем преспоро за прекид за који пројектујете.

Шта проверити даље

Радите ка споља од улаза који не ради овим редом: да ли друга адреса одговара споља, да ли представља идентитет који клијент очекује, да ли одговор излази путем којим је захтев стигао и да ли клијент може да сазна име пре него што му затреба. Где је одговор не, поправите тај слој и поново тестирајте са примењеним профилом, а не са тест хостом, јер руковање из лабораторије доказује мање од завршене везе правог клијента.

Водите кратак запис по WAN-у са адресом, портом, завршним интерфејсом, именом сертификата, повратном путањом и правилом превођења, и поново га проверите кад год се промени круг, NAT уређај или верзија клијента. Неискоришћене резервне путање тихо труну: ништа не упозорава на улаз који нико не користи све до дана када сви зависе од њега.