Andra VPN-slutpunkten: vad den täcker och vad den inte gör

Två slutpunkter ser på papperet ut som redundans. I praktiken hjälper en andra adress bara när klienterna kan nå den och när den undviker det fel du förbereder dig för. Två servrar bakom samma åtkomstanslutning, samma konto eller samma målnätverk faller tillsammans. Den användbara frågan är vilket enskilt fel den andra slutpunkten tar bort.

Jämför vad båda slutpunkterna delar

Lista vad de två slutpunkterna har gemensamt innan du räknar vad de duplicerar. Hostingplats, leverantörskonto, uppströms transit, DNS-hosting, identitetskällan och den privata resursen bakom tunneln är var och en ett delat eller ett oberoende beroende. Två virtuella maskiner i en region delar ett leverantörsavbrott. Två regioner under ett konto delar fortfarande faktureringsrelationen och kontrollplanet som skapar dem.

Målnätverket förtjänar samma behandling. En frisk reservgateway kan inte återställa en NAS som är offline, och den kan inte nå ett kontorsnätverk vars upplänk har fallit. Om båda slutpunkterna slutar i samma privata subnät lägger den andra bara till en väg till ett mål som redan är den enda felpunkten.

Identitet är det beroende folk glömmer. Kloning av certifikatet och konfigurationen till en andra värd skapar två platser där samma autentiseringsuppgift kan kopieras, och säger ingenting om hur återkallelser når båda.

Bestäm hur en klient växlar

En andra slutpunkt är bara användbar om klienten känner till den och kan välja den utan ett supportsamtal. OpenVPN-anslutningsprofiler kan innehålla flera remote-rader med en urvalsprincip, och de flesta klienter erbjuder en alternativ profil i en meny. Vilken mekanism det än gäller, skriv ned vilken dina användare har, för en profil de inte hittar är ingen failover.

Läs klientdokumentationen om adressändringar under en session. Vissa implementationer behåller den ursprungliga peeren under tunnelns hela livstid och tittar på alternativ först vid återanslutning. Den skillnaden avgör om en död slutpunkt ger ett kort avbrott eller en session som aldrig återhämtar sig. Testa återanslutningsvägen i stället för att anta att den sker.

En ändrad utgångsadress bryter också applikationens tillstånd. Failover är återställning, och att beskriva det som oavbruten kontinuitet skapar en förväntan som transporten inte kan uppfylla.

Testa ett riktigt fel

Välj ett kontrollerat avbrott och kör det från början till slut, i stället för att lita på designdokumentet. Stoppa den primära slutpunkten och bekräfta sedan att en auktoriserad klient når det avsedda programmet via alternativet medan oauktoriserade klienter fortfarande inte kan. Anteckna hur länge växlingen tog och vad programmet såg.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Det första kommandot bekräftar att reservnamnet löses till något dirigerbart innan du behöver det, och det är det billigaste testet här. Det andra visar vilket gränssnitt kärnan skulle använda för ett privat mål när alternativet är uppe. Det tredje ger klientloggen med namnet på den peer den faktiskt anslöt till, och det är det enda beviset på att växlingen skedde. Håll också koll på blockeringsbeteendet i mellanrummet, för en policy som läcker trafik vid växling är värre än ett kort avbrott.

Ta sedan tillbaka originalet och bekräfta om klienten kommer tillbaka. En återgång som sker av misstag är ett beteende som ingen planerade.

Skriv ned vad den andra adressen ger

Sammanfatta täckningen i ett stycke: vilket fel den andra slutpunkten tar bort, vilka fel den delar med den första och vilka antaganden växlingen vilar på. Namnge mekanismen på klientsidan samt de privata rutterna och DNS-beteendet som måste finnas på båda ställena. En offentlig internetutgång ersätter inte en privat gateway, och ett dokument som behandlar dem som utbytbara kommer att trodd. Lägg till återställningstestet du körde, med datum och resultat.

Oberoende från en server är inte oberoende från det delade kontot eller målnätverket. Det är stycket som säger det högt som hindrar att en andra adress säljs internt som hög tillgänglighet. Det berättar också för nästa operatör vad som ska kontrolleras först när paret faller tillsammans.