Jinsi ya kujenga sera ya VPN failover kwenye router bila uvujaji

Failover ilifanya kazi sawasawa na jinsi ilivyosanidiwa, na hilo lilikuwa tatizo. Tunnel kuu ilipoanguka, router ilihamisha njia ya msingi kwenda modem ya kebo, kompyuta za kubebeka ziliendelea kuvinjari, na hakuna aliyepiga simu. Siku mbili baadaye mtu aligundua kuwa sehemu ya fedha ilikuwa inapatikana kupitia njia ya wazi ya intaneti kwa saa sita. Sera ya failover ya VPN kwenye router si hila ya njia; ni uamuzi kuhusu trafiki ifanye nini njia pendwa inapotoweka, na uamuzi huo lazima uwepo kabla njia haijatoweka.

Amua matokeo kabla ya kuchagua kigunduzi

Kwa kawaida matokeo matatu yako mezani: kutuma wateja walioathirika kupitia tunnel mbadala, kuwaacha watumie WAN ya kawaida, au kuwazuia kabisa. Andika lipi linahusika na VLAN, SSID au aina gani ya kifaa. Sheria moja tambarare ya «hamia WAN» ndiyo iliyofanya sehemu ya fedha hapo juu kuishia kwenye njia ya umma.

Haya matatu hayabadilishani. Kurudi kwenye WAN kunabakisha dawati la msaada likijibu simu lakini kunaweka majina ya ndani kwa kitatuzi cha ndani. Tunnel mbadala huhifadhi sera lakini unaweza kutua kwenye anwani ya kutoka ambayo upande wa mbali haukubali. Kuzuia ni sahihi kwa VLAN ya mishahara na si sahihi kwa mtandao wa wageni ambao haukuwa umetumia tunnel kamwe.

Oanisha kigunduzi na hitilafu unayoogopa kweli

Hali ya kupeana mkono, hali ya kiolesura na usambazaji unaoweza kutumika ni ishara tatu tofauti, na ya mwisho pekee ndiyo inayomjali mtumiaji. Peer ya WireGuard inaweza kuonyesha kupeana mkono wa hivi karibuni huku mtandao wa juu wa mtoa huduma ukitupa pakiti. Mteja wa OpenVPN anaweza kubaki «imeunganishwa» baada ya njia aliyoisukuma kukoma kutatuliwa.

Kwenye pfSense mpangilio wa kiutendaji ni kundi la lango linalolishwa na dpinger, ambayo hupima anwani ya ufuatiliaji na kuweka lango kuwa chini pale upotevu au ucheleweshaji unapovuka vizingiti vyake. Elekeza ufuatiliaji huo kwa kitu nje ya tunnel, kama mwenyeji kwenye LAN ya mbali au anwani ya umma unayofikia kupitia hiyo. Kuielekeza kwenye anwani ya peer ya tunnel yenyewe hupima sehemu unayojua tayari iko hai.

Jenga kundi ili mbadala ubaki chaguo la mwisho

Tumia ngazi badala ya orodha moja tambarare ya wanachama. Kuu katika ngazi 1, tunnel mbadala katika ngazi 2, WAN katika ngazi 3 kwa VLAN tu ambazo sera yake inaruhusu. Kwenye pfSense hii iko chini ya System > Routing > Gateway Groups: ongeza malango yote mawili, yape ngazi tofauti, weka Trigger Level kuwa mwanachama chini pamoja na upotevu wa pakiti, hifadhi, kisha tumia kundi kama chaguo-msingi la kiolesura au kwenye sehemu ya Gateway ya sheria za firewall zinazohitaji.

Kwa kielekezi cha mteja wa OpenVPN kwenye pfSense 2.5 na baadaye, mpangilio wa Default Gateway wa kielekezi huamua kama tunnel inabadilisha njia ya msingi ya mfumo kabisa. Uelekezaji kwa sheria hujiendesha jinsi unavyotarajia tu pale njia unayodhani ipo imesakinishwa kweli. Baada ya mabadiliko angalia Status > Gateways badala ya kuamini aikoni ya hali ya tunnel.

Mipangilio miwili husababisha sehemu kubwa ya kufurukuta. Moja ni muda wa kupima ulio mfupi kuliko muunganiko upya wa mtoa huduma mwenyewe. Nyingine ni kundi ambalo kuu na mbadala hushiriki ngazi, hivyo wote hubaki wanaofaa kila wakati. Ongeza hysteresis kupitia vizingiti vya upotevu na ucheleweshaji kabla watumiaji hawajahisi mabadiliko kwa niaba yako.

Funga njia ambazo tunnel haikuwahi kumiliki

Kwanza uvujaji wa DNS. Kitatuzi huendelea kujibu kwenye WAN na kusambaza kutoka humo, hivyo majina huendelea kutatuliwa kupitia ISP huku trafiki ikiwa imebandikwa kwenye tunnel. Punguza violesura vya kutoka vya kitatuzi, sukuma kitatuzi cha ndani kwa wateja, na zuia mlango 53 kwa kila kitu kingine kwenye VLAN za VPN pekee.

IPv6 inahitaji uamuzi wake. LAN ya stack mbili inaweza kupoteza tunnel na kubakiza njia ya msingi ya kimataifa ya IPv6 inayofanya kazi, hivyo vivinjari hupendelea IPv6 na kutoka kupitia WAN huku IPv4 ikionekana imefungwa vizuri. Ama elekeza IPv6 ndani ya tunnel au acha kutangaza kiambishi cha kimataifa wakati tunnel iko chini. Nusu ya sera ni mbaya kuliko kutokuwa na sera, kwa sababu inaonekana inafanya kazi.

Kisha njia ya kurudi. Ikiwa njia ya kutoka mbadala inatumia anwani tofauti ya chanzo, upande wa mbali lazima ujue jinsi ya kutuma trafiki kurudi kwake, na kila hali iliyofungwa na anwani ya zamani tayari imekufa. Vikao vilivyofunguliwa kuu ilipoanguka havihamii; vinasimama hadi muda uishe na programu iamue la kufanya.

Jaribu kuanguka, kufurukuta na njia ya kurudi ndani

Ondoa kuu huku trafiki isiyo na madhara ikiendesha, kisha soma mambo manne: Status > Gateways kwa hali za wanachama wa kundi, pfctl -ss kwa hali bado zimebandikwa kwenye lango la zamani, traceroute kutoka kwa mteja kwa njia ya kutoka, na swali la kitatuzi kuona ni seva ipi ilijibu.

Sasa furukuta. Panda kuu kwa sekunde thelathini, shusha kwa thelathini, mara mbili. Ikiwa trafiki inafuata kila mabadiliko, vizingiti ni vigumu mno au ngazi si sahihi. Rekebisha kwa ratiba yako, kwa sababu vinginevyo mtoa huduma atafanya kwa ratiba yake.

Mwisho, thibitisha bado unaweza kusimamia router. Weka njia ya nje ya mkondo kama kebo ya konsoli, VLAN ya usimamizi au modem ya selula. Jaribio la failover linalokufungia nje ni jaribio usiloweza kumaliza, na router isiyofikika haiwezi kujirudi yenyewe.

Kabla ya kutangaza sera imekamilika, unapaswa kuweza kujibu maswali manne bila kufungua terminal: ni VLAN zipi zinaweza kutumia WAN wakati tunnel iko chini, kigunduzi kinaangalia nini na kinasubiri muda gani, ni seva zipi za majina na njia za IPv6 zinazohama na njia, na jinsi unavyorudi ndani ikiwa mbadala pia unashindwa. Ikiwa jibu lolote ni «chochote kilichokuwa msingi», sera bado ni ya router na si yako.