இரண்டாவது WAN VPN நுழைவு தோல்வியடையும் போது முதன்மையானது இன்னும் வேலை செய்கிறது

முதன்மைச் சுரங்கப்பாதை இயங்கிக்கொண்டே இருக்கிறது, பயனர்கள் தொடர்ந்து வேலை செய்கிறார்கள், நீங்கள் எதை மாற்றினாலும் இரண்டாவது ISP சுற்று வெறுமனே கிடக்கிறது. காப்பு சுற்றுக்கு ஒரு முகவரியை வெளியிட்டீர்கள், அதற்கு ஒரு பெயரைச் சுட்டினீர்கள், ஒருவேளை வாடிக்கையாளரில் காப்பு நுழைவைச் சேர்த்தீர்கள், வாடிக்கையாளர் அதை ஒருபோதும் முயற்சிக்காமல் இருக்கலாம் அல்லது அங்கீகரித்த பிறகு இறந்துவிடுகிறது. நான் கண்காணித்த சந்தர்ப்பங்களில், இடமாற்ற அம்சம் பொதுவாக சரியாகவே இருந்தது; ஒரு நுழைவை பயன்படுத்தக்கூடியதாக்கும் ஐந்து விஷயங்களில் ஒன்று காணாமல் போயிருந்தது. அந்த இடைமுகத்தில் எதுவும் கேட்காதபோதும் பெயர் காப்பு முகவரிக்குத் தீர்க்கப்படலாம், பதில் முதன்மையானது வழியாக வெளியேறும்போதும் கேட்பான் ஒரு இணைப்பை ஏற்கலாம். ஒவ்வொரு WAN ஐயும் அதன் சொந்த ஒப்பந்தத்துடன் தனி நுழைவாகக் கருதுங்கள், தோல்வி வாடிக்கையாளரின் பிழையாகத் தெரிவது நிற்கும்.

ஒவ்வொரு WAN க்கும் அதன் சொந்த நுழைவு ஒப்பந்தம் தேவை

ஒவ்வொரு WAN க்கும் ஐந்து புலங்களைப் பதிவு செய்யுங்கள்: பொது பெயரும் முகவரியும், போக்குவரத்தும் துறையும், அதை முடிக்கும் இடைமுகம் அல்லது சூழல், அது வழங்க வேண்டிய சக அடையாளம், மற்றும் பதில் எங்கிருந்து வெளியேறுகிறது. இரண்டு சுற்றுகள் என்பது இரண்டு முழுமையான தொகுப்புகள். இரண்டாவது தொகுப்பில் முடிக்கும் இடைமுகமோ திரும்பும் பாதையோ இல்லாவிட்டால், உங்களிடம் காப்பு நுழைவு இல்லை; ஒரு நோக்கத்தை விவரிக்கும் DNS பதிவு உள்ளது.

சாதனமும் அதன் பதிப்பும் இந்த ஏற்பாட்டை ஆதரிக்க வேண்டும். DNS பதிவு மற்றொரு இடைமுகத்தில் சேவையைத் திறக்க முடியாது, பல தளங்களில் கேட்பான் சாதனத்தின் அடிப்படையில் அல்லாமல் முகவரியின் அடிப்படையில் அமைக்கப்படுகிறது. ASA இல் இடைமுக அடிப்படையிலான IPsec குறியாக்க வரைபடங்களையும் சுரங்கப்பாதை குழுக்களையும் வெளி இடைமுகத்துடன் பிணைக்கிறது, எனவே இரண்டாவது இணைப்புக்கு அந்தப் பொதிகைகள் உண்மையில் வரும் இடத்தில் கொள்கை தேவை. பாதை அடிப்படையிலான வடிவமைப்புகள் வேறுவிதமாக நடக்கின்றன: கேட்பான் ஒவ்வொரு முகவரியிலும் அல்லது ஒரு பெயரிடப்பட்ட முகவரியிலும் பிணைக்கப்படலாம், அந்தத் தேர்வு ISP B பதிலளிக்க முடியுமா என்பதைத் தீர்மானிக்கிறது.

இரண்டாவது WAN உண்மையில் பதிலளிக்கிறதா எனச் சரிபாருங்கள்

இரண்டு சுற்றுகளுக்கும் வெளியிலிருந்து சோதியுங்கள், நுழைவாயிலுக்குப் பின்னால் உள்ள இயந்திரத்திலிருந்து அல்ல, மேலும் வாடிக்கையாளர் சுயவிவரம் பயன்படுத்தும் சரியான பெயரையே சோதியுங்கள். TLS கேட்பானுக்கு விரைவான சரிபார்ப்பு openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts உங்கள் வலையமைப்புக்கு வெளியே உள்ள ஹோஸ்ட்டிலிருந்து இயக்கப்படுவதாகும். சுயவிவரத்தில் உள்ள பெயருடன் அதன் சங்கிலி பொருந்தும் முழுமையான கைக்குலுக்கல் வேண்டும், இணைப்பை ஏற்கும் TCP துறை மட்டும் அல்ல.

RFC 9525 வாடிக்கையாளர் என்ன சரிபார்க்கிறார் என்பதை விளக்குகிறது: அது அடைய நினைத்த அடையாளம், சேவை வழங்கும் சான்றிதழுடன் ஒப்பிடப்படுகிறது. முதன்மை நுழைவின் சான்றிதழைத் திருப்பித் தரும் இரண்டாவது நுழைவு, அல்லது இரு பெயர்களில் எதையும் பட்டியலிடாத இயல்புநிலைச் சான்றிதழ், துறை திறந்திருந்தும் தீச்சுவர் அதை அனுமதித்தாலும் இந்தச் சோதனையில் தோல்வியடைகிறது.

இங்குள்ள பெரும்பாலான தோல்விகளை இரண்டு வடிவங்கள் விளக்குகின்றன. தொங்கிக்கொண்டிருக்கும் இணைப்பு பொதுவாக அந்த இடைமுகத்தில் கேட்பான் இல்லை, முதன்மை துணை வலையங்களுக்கு மட்டும் அனுமதிக்கும் அணுகல் விதி, அல்லது இரண்டாவது சுற்றுக்கு முன்னால் உள்ள இயக்குநர் சாதனம் துறையை விட்டுவிடுகிறது என்று பொருள். தவறான அடையாளத்துடன் முடியும் கைக்குலுக்கல் பொதுவாக வேறு நம்பிக்கை மையம், இயல்புநிலை மெய்நிகர் ஹோஸ்ட், அல்லது அடையாளத்தைச் சரிசெய்யாமல் முதன்மையிலிருந்து நகலெடுக்கப்பட்ட உள்ளமைவு என்று பொருள்.

பதிலைப் பின்தொடருங்கள், கோரிக்கையை மட்டும் அல்ல

இரண்டாவது WAN பொதுவாகத் திரும்பும் வழியில் உடைகிறது. கோரிக்கை ISP B க்கு வருகிறது, சாதனம் பதிலளிக்கிறது, பதில் ISP A வின் இயல்புநிலைப் பாதை வழியாக வெளியேறுகிறது, வாடிக்கையாளர் ஒருபோதும் கேட்காத மூல முகவரியுடன். நிலைமை கொண்ட மொழிபெயர்ப்பு அதை மோசமாக்குகிறது: வரைபடம் முதன்மை இடைமுகத்திற்காகக் கட்டப்பட்டிருந்தால், திரும்பும் பொதி மொழிபெயர்ப்பைத் தவறவிடுகிறது அல்லது வாடிக்கையாளரின் தீச்சுவர் தூக்கி எறியும் மூலத்தைச் சுமக்கிறது. வழங்குநர்கள் உங்களுக்குக் கொடுத்த சுற்றுக்கு உரியதல்லாத மூல முகவரிகளையும் தூக்கி எறிகின்றனர், அதனால்தான் இது சுத்தமான நெறிமுறை பிழையாக அல்லாமல் ஒரு பக்க கருங்குழியாகத் தெரிகிறது.

இரண்டாவது நுழைவிலிருந்து மூலமாகும் போக்குவரத்துக்கான வழியமைப்பு முடிவைச் சரிபாருங்கள். பதில் கோரிக்கை வந்த இடைமுகம் வழியாகவே வெளியேற வேண்டும், அல்லது குறைந்தபட்சம் அந்தப் பாதைக்கு உரியது என எதிர்ப் பக்கம் ஏற்கும் முகவரியையாவது சுமக்க வேண்டும். கொள்கை வழியமைப்பு தளங்களில் இது வரும் இடைமுகம் அல்லது மொழிபெயர்க்கப்பட்ட மூலத்தில் பிணைக்கப்பட்ட விதி, மேலும் ஒவ்வொரு வெளி இடைமுகத்திலும் பிணைக்கப்பட்ட மொழிபெயர்ப்பு அறிக்கை என்று பொருள். வாடிக்கையாளர் இணைக்கும்போது இரு இடைமுகங்களிலும் ஒரே நேரத்தில் பிடிப்பு எடுங்கள்; ISP B இல் வரும் SYN உம் ISP A இல் வெளியேறும் SYN-ACK உம் ஒரே ஓட்டத்தில் கேள்வியைத் தீர்க்கின்றன.

இரண்டாவது நுழைவைப் பற்றித் தெரிந்துகொள்ள வாடிக்கையாளருக்கு ஒரு வழி கொடுங்கள்

இடமாற்றம் என்பது வாடிக்கையாளர் பக்க முடிவு, ஒவ்வொரு வாடிக்கையாளர் குடும்பமும் மாற்று வழிகளை வேறுவிதமாக அறிகிறது. ASA இல் காப்பு சேவையகப் பட்டியல் குழுக் கொள்கையின் webvpn பண்புகள் வழியாக வழங்கப்படுகிறது, மற்ற வாடிக்கையாளர்கள் சுயவிவரத்திற்குள் ஒரு பட்டியலையோ பயனர் தேர்ந்தெடுக்கும் கைமுறை இரண்டாவது சுயவிவரத்தையோ எதிர்பார்க்கின்றனர். Cisco இன் இணைப்புக் கொள்கை வழிகாட்டி வாடிக்கையாளரில் அமைக்கப்பட்ட மற்றும் நுழைவாயிலால் வழங்கப்பட்ட காப்புத் தகவல் இரண்டையும் விவரிக்கிறது, அந்த நெறிமுறை சார்ந்த விவரங்களை ஒவ்வொரு வாடிக்கையாளருக்கும் சுரங்கப்பாதை முறைக்கும் பொதுமைப்படுத்தக்கூடாது. தவறான ஒன்றைச் சுற்றி இரண்டாவது நுழைவைக் கட்டுவதற்கு முன் நிறுவப்பட்ட வாடிக்கையாளர் எந்த முறையைச் செயல்படுத்துகிறது என்பதை உறுதிப்படுத்துங்கள்.

எந்த முறையாயினும், முதன்மைப் பாதையை இழப்பதற்கு முன் வாடிக்கையாளர் மாற்றுப் பெயரைத் தீர்க்க முடிய வேண்டும். அந்தச் சார்புதான் மக்கள் தவறவிடுவது: காப்புப் பெயர் இப்போது தோல்வியடைந்த சுரங்கப்பாதை வழியாக மட்டுமே அணுகக்கூடிய தீர்வியால் பதிலளிக்கப்பட்டால், காப்பு தொடங்கக்கூட முடியாது. இரண்டாவது பெயரை உள்ளூராகவோ இணையம் வழியாகவோ பதிலளிக்கும் தீர்வியில் வெளியிடுங்கள். இடமாற்றத்திற்குப் பின் புதிய அங்கீகாரமும் புதிய பயன்பாட்டு அமர்வும் எதிர்பார்க்கவும், ஏனெனில் வாடிக்கையாளர் இடமாற்றம் நிலைமை கொண்ட இடமாற்றம் அல்ல, நீண்ட அமர்வுகள் அதைத் தாண்டி நீடிக்காது.

இரண்டு வழங்குநர்களிடம் ஒரே முகவரி என்பது வேறு தயாரிப்பு

ஒரே பொது முகவரியை இரு சுற்றுகள் வழியாகவும் அணுகக்கூடியதாக வைத்திருப்பது வழியமைப்புச் சேவை, VPN இல் ஒரு தேர்வுப்பெட்டி அல்ல. இரு வழங்குநர்களும் எடுத்துச் செல்லத் தயாராக இருக்கும் முகவரி இடைவெளி தேவை, அவர்களின் வலையமைப்புகள் ஏற்கும் வகையில் அறிவிக்கப்பட வேண்டும், அதைத்தான் வழங்குநரிலிருந்து சுயாதீனமான இடைவெளியும் BGP உம் கொண்ட பல்வீட்டு இணைப்பு வழங்குகிறது. ISP A இன் முகவரியை ISP B இன் இடைமுகத்திற்கு ஒதுக்குவது அங்கு கொண்டு சேர்க்காது; பொதி அந்த முன்னொட்டை ஒருபோதும் அறிவிக்காத வலையமைப்பை அடைந்து மேல்நோக்கி தூக்கி எறியப்படுகிறது.

இரண்டு நுழைவுகளை வெளியிட இவற்றில் எதுவும் தேவையில்லை. வாடிக்கையாளர் இரண்டு பெயர்களை வைத்துக்கொண்டு அவற்றுக்கிடையே இடமாற முடிந்தால், இரண்டு சுயாதீன நுழைவுகள் போதும், AS எண், பியரிங் ஏற்பாடு மற்றும் எல்லா இடங்களிலும் ஏற்கப்பட வேண்டிய முன்னொட்டு ஆகியவற்றைத் தவிர்க்கிறீர்கள். நகர்த்தக்கூடிய முகவரி விருப்பத்தை, வாடிக்கையாளர்கள் மறுஅமைவு செய்து மாற்ற முடியாத ஒரு நிலையான நுழைவுப் புள்ளி உண்மையில் தேவைப்படும்போது மட்டுமே பரிசீலியுங்கள், அல்லது TTL தாமதத்துடன் கூடிய DNS அடிப்படையிலான இடமாற்றம் நீங்கள் வடிவமைக்கும் இடைவெளிக்கு மிக மெதுவாக இருக்கும்போது.

அடுத்து என்ன சரிபார்க்க வேண்டும்

தோல்வியடையும் நுழைவிலிருந்து வெளிநோக்கி இந்த வரிசையில் வேலை செய்யுங்கள்: இரண்டாவது முகவரி வெளியிலிருந்து பதிலளிக்கிறதா, வாடிக்கையாளர் எதிர்பார்க்கும் அடையாளத்தை வழங்குகிறதா, கோரிக்கை வந்த வழியாகவே பதில் வெளியேறுகிறதா, தேவைப்படுவதற்கு முன் வாடிக்கையாளர் பெயரை அறிய முடியுமா. பதில் இல்லை எனும் இடத்தில் அந்த அடுக்கைச் சரிசெய்து, சோதனை ஹோஸ்ட்டுக்குப் பதிலாக நிறுவப்பட்ட சுயவிவரத்துடன் மீண்டும் சோதியுங்கள், ஏனெனில் ஆய்வகக் கைக்குலுக்கல் உண்மையான வாடிக்கையாளரின் முழுமையான இணைப்பை விடக் குறைவாகவே நிரூபிக்கிறது.

ஒவ்வொரு WAN க்கும் முகவரி, துறை, முடிக்கும் இடைமுகம், சான்றிதழ் பெயர், திரும்பும் பாதை மற்றும் மொழிபெயர்ப்பு விதி கொண்ட குறுகிய பதிவை வைத்திருங்கள், சுற்று, NAT சாதனம் அல்லது வாடிக்கையாளர் பதிப்பு மாறும்போதெல்லாம் மீண்டும் சரிபாருங்கள். பயன்படுத்தப்படாத காப்புப் பாதைகள் அமைதியாக அழுகின்றன: யாரும் பயன்படுத்தாத நுழைவைப் பற்றி யாருக்கும் எச்சரிக்கை வராது, எல்லோரும் அதை நம்பும் நாள் வரை.