Malango mawili ya IPsec bila IP ya pamoja: failover hufanya nini kweli

Zima lango A wakati wa mkutano na uangalie handaki likirudi kupitia B dakika moja baadaye; muunganisho hufanya kazi, simu ya video huenda usifanye. Hii ndiyo sura ya uaminifu ya failover baridi kati ya malango mawili ya IPsec yenye anwani huru. Mteja huchagua tena kituo cha mwisho na hujenga uhusiano mpya, ambao hurejesha ufikiaji bila kuhamisha hali ya ufichaji ya kikao cha zamani. Kufuata mfuatano hufanya iwe wazi ni ahadi gani muundo unaweza kutimiza.

Weka jukwaa: anwani mbili, hakuna IP inayoelea

Lango A hujibu kwenye anwani moja inayofikiwa na lango B kwenye nyingine. Mteja ana njia iliyoidhinishwa ya kuchagua B wakati A haipo, na hakuna anwani ya nje ya pamoja ambayo malango yote mawili yanadai. Katika muundo huu, IP pepe inamaanisha kituo hicho cha kuingia cha pamoja, si anwani ya ndani inayopewa mteja wa ufikiaji wa mbali.

Ufafanuzi huo ni muhimu kwa sababu mawazo mawili huchanganyika katika tikiti, na suluhisho la moja si suluhisho la lingine. Ripoti kwamba kiingilio cha pamoja hakikufuata lango huelesha muundo mmoja. Ripoti kwamba kompyuta ya mkononi ilipoteza anwani yake ya ndani huelesha kukodisha kwa mteja. Wamiliki tofauti, kumbukumbu tofauti, matengenezo tofauti.

Pitia hitilafu: gundua, kisha chagua tena

Kwanza kitu hugundua kuwa A iliacha kujibu. Hiyo inaweza kuwa ugunduzi wa mwenzake aliyekufa kwenye tabaka la handaki, itifaki ya uelekezaji inayotoa njia, au muda wa mwisho wa programu ambao hatimaye hulazimisha kuunganisha tena. Kila moja ina kipimo tofauti cha muda, na cha polepole zaidi kwa kawaida huamua ni muda gani watumiaji husubiri.

Kisha mteja huchagua B kupitia utaratibu wowote ambao usambazaji unaunga mkono: kituo cha pili cha mbali kilichosanidiwa, jina la DNS lililotatuliwa kwa anwani nzuri, au uelekezaji ambao sasa unapendelea njia tofauti. Uchaguzi ni hatua ya sera, na lazima uwepo kabla ya hitilafu au utatokea kwa bahati.

B inaweza kurithi nini na haiwezi kurithi nini

B inaweza kushiriki kiolezo cha usanidi, mamlaka ya vyeti na sera ya uthibitishaji na A. Haiwezi kurithi vyama hai vya usalama. Funguo za kikao, fahirisi za vigezo vya usalama na hali ya mfuatano ni mali ya uhusiano ambao A na mteja walianzisha, na B haina hata moja.

Kuhamisha hali hiyo kati ya malango ni tatizo halisi la uhandisi, ndiyo maana nyaraka za strongSwan za upatikanaji wa juu huichukulia kama muundo wa nguzo na si bendera ya usanidi. Kichocheo mahususi cha nguzo si jibu la jumla kwa mtandao wa wingu, na kuinakili bila miundombinu inayotegemeza hununua utata badala ya mwendelezo.

Kuanzisha uhusiano mpya

B ikiwa imechaguliwa, mteja hufanya ubadilishanaji mpya wa IKE: thamani mpya za nonce, thamani mpya za Diffie-Hellman, vitambulisho vipya vya vyama vinavyotokana. Uthibitishaji hufanyika tena kwa B. Ikiwa muundo unategemea vitambulisho vya mashine, kuunganisha tena kunaweza kuwa bila usimamizi; ikiwa unahitaji jambo la kibinadamu, mtu lazima awepo ili failover ikamilike.

Fafanua uzoefu huo wa mtumiaji kabla ya kukatika, si wakati wake. Sema wazi mteja atafanya nini, atajaribu kwa muda gani na ataonyesha nini atakapokata tamaa, kwa sababu tofauti kati ya dakika moja ya kuunganisha tena na simu ya msaada kwa kawaida ni nyaraka na wasifu uliojaribiwa.

Kuhifadhi anwani hiyo hiyo ya ndani huwasaidia programu zinazotarajia utambulisho thabiti wa ndani, na haihifadhi vikao vyao. Viungo vya NAT huisha, miunganisho ya TCP huwekwa upya, na kitu chochote chenye muda wake wa mwisho huamua kwa kujitegemea ikiwa kita jaribu tena.

Handaki mbili kwa sambamba ni muundo tofauti

Kuendesha handaki zote mbili kwa wakati mmoja ni mtindo halali wakati malango yote mawili na muundo wa uelekezaji vinaunga mkono. Uchaguzi wa njia huchagua njia inayotumika, na njia ya kurudi lazima ikubaliane, vinginevyo trafiki hutoka kupitia lango moja na kurudi kupitia lingine bila hali ya kuoanisha.

Sera za handaki zinazopishana haziunda failover iliyopangwa zenyewe. Zinaunda wagombea wawili, na kitu lazima kiamue baina yao kwa njia ya uhakika, iwe ni kipimo cha uelekezaji, kipaumbele cha sera au upendeleo wa wazi kwa mteja.

Chochote umbo utakalochagua, andika mkataba: hitilafu inagunduliwa vipi, mbadala huchaguliwa vipi, uthibitishaji gani unahitajika na kuunganisha tena kunatarajiwa kuchukua muda gani. IP ya pamoja inaweza kurahisisha ugunduzi, lakini si kisawe cha hali endelevu, na upatikanaji ni muundo kwa vyovyote.