Два активна IPsec тунела и даље захтевају план повратног пута

Отворите терминал на радној станици на једној локацији и повежите се са сервером на другој. Тај један TCP разговор сада мора да прође кроз четири пролаза уместо два, а занимљиви део није да ли ради на добар дан. Занимљиви део је који је пар пролаза изабрао смер напред, који пар бира одговор и ко држи стање тока док се то дешава. Ништа у табели рутирања то не одлучује уместо вас.

Нацртајте четири пролаза пре него што нацртате руту

Двоструко активан дизајн са два независна VPN заштитна зида по локацији, један пар по провајдеру, даје вам два употребљива пута и три начина да их покварите. Запишите адресе пре него што било шта конфигуришете: клијента како се види пре и после сваког пролаза, сервер исто тако, следећи скок напред и следећи скок назад.

Та табела је дизајн. Све после ње је питање да ли се уређаји слажу са табелом.

Како се бира пут напред

Слој вишестазног рутирања са једнаком ценом распоређује токове по следећим скоковима хеширањем поља заглавља, што RFC 2992 детаљно описује. Тај избор може бити потпуно без стања: не треба му запис за праћење везе, само стабилан хеш над непромењеним пољима. Држите скуп путева и улазе хеша константним и сваки пакет тока ће изабрати исти следећи скок.

Избор по току избегава преуређивање које би изазвало балансирање пакет по пакет на везама са различитим кашњењима. Он не обећава да једнака цена рутирања значи једнако измерено кашњење, јер не значи. А када се састав путева промени, токови се премапирају, па је преживљавање везе током квара посебан услов у односу на избор пута.

Шта је заиста потребно повратном путу

Овде шетња престаје да буде симетрична. Стабилан хеш напред вам ништа не говори о томе шта ће удаљена локација учинити са одговором. Ако независни заштитни зид мора да види оба смера везе да би одржао корисно стање, повратна рута која га обилази оставља саобраћај који се ни са чим не поклапа. Две кутије са сличним скуповима правила нису заједничко стање.

Потврдите имплементирано двосмерно понашање или напишите изричиту политику која одржава тражене границе кохерентним. Претпоставка се овде открије током испада, од људи који у томе не уживају.

Где превод одлучује уместо вас

NAT је друга полуга и није обавезан него опционалан. Преведени идентитети специфични за пут могу да усмере одговоре назад ка пролазу који држи стање, што је легитиман дизајн. Они такође додају мапирања, повратне руте и власника тог стања, па прихватите терет само за захтев који можете изговорити наглас.

Ако је захтев једноставно да оба пута носе саобраћај и да било који преживи губитак провајдера, обичан вишестазни ток са кохерентним повратним рутирањем обично је мањи дизајн.

Прођите прихватање по реду

Тестирајте овим редоследом и бележите адресе на сваком кораку: нова веза на путу A и њен повратни пут, исто на путу B, затим губитак једног провајдера, затим обнова. За сваки резултат забележите који су се успостављени токови померили, који су морали поново да се повежу и куда су нови токови отишли после. Прво запишите очекивану вредност, па је упоредите са снимком. Два успостављена тунела не доказују ништа од тога.

Дизајн је готов када се табела коју сте написали поклапа са оним што снимак показује, а не када су оба тунела подигнута.