రౌటర్లో VPN ఫెయిలోవర్ పాలసీని లీక్లు లేకుండా ఎలా నిర్మించాలి
ఇష్టపడే టన్నెల్ పడిపోయినప్పుడు ట్రాఫిక్ ఏమి చేయాలో నిర్ణయించండి: బ్యాకప్ టన్నెల్, సాధారణ WAN లేదా బ్లాక్. తర్వాత దాన్ని రౌటర్లో నిర్మించి పరీక్షించండి.
ఫెయిలోవర్ సరిగ్గా కాన్ఫిగర్ చేసిన విధంగానే పనిచేసింది, అదే సమస్య. ప్రధాన టన్నెల్ పడిపోయినప్పుడు, రౌటర్ డిఫాల్ట్ మార్గాన్ని కేబుల్ మోడెమ్కు మార్చింది, ల్యాప్టాప్లు బ్రౌజ్ చేస్తూనే ఉన్నాయి, ఎవరూ ఫోన్ చేయలేదు. రెండు రోజుల తర్వాత ఆర్థిక భాగస్వామ్యం ఆరు గంటల పాటు తెరిచిన ఇంటర్నెట్ మార్గం ద్వారా అందుబాటులో ఉందని ఎవరో గమనించారు. రౌటర్లో VPN ఫెయిలోవర్ పాలసీ అనేది రూటింగ్ ఉపాయం కాదు; ఇష్టపడే మార్గం పోయినప్పుడు ట్రాఫిక్ ఏమి చేయాలనే నిర్ణయం, ఆ నిర్ణయం మార్గం పోయే ముందే ఉండాలి.
డిటెక్టర్ను ఎంచుకునే ముందు ఫలితాన్ని నిర్ణయించండి
సాధారణంగా మూడు ఫలితాలు టేబుల్పై ఉంటాయి: ప్రభావిత క్లయింట్లను బ్యాకప్ టన్నెల్ ద్వారా పంపడం, వాటిని సాధారణ WAN ఉపయోగించనివ్వడం, లేదా పూర్తిగా బ్లాక్ చేయడం. ఏ VLAN, SSID లేదా పరికర తరగతికి ఏది వర్తిస్తుందో రాయండి. ఒకే చదునైన «WAN కి మారండి» నియమం పైనున్న ఆర్థిక భాగస్వామ్యాన్ని పబ్లిక్ మార్గంలో పడేసింది.
ఈ మూడూ పరస్పరం మార్చుకోగలిగినవి కావు. WAN కి తిరిగి వెళ్లడం సపోర్ట్ డెస్క్ ఫోన్లకు సమాధానం చెబుతూనే ఉంచుతుంది కానీ అంతర్గత పేర్లను స్థానిక రిజాల్వర్కు బయటపెడుతుంది. బ్యాకప్ టన్నెల్ పాలసీని కాపాడుతుంది కానీ ఆ చివరి వైపు అంగీకరించని నిష్క్రమణ చిరునామాలో దిగవచ్చు. చెల్లింపు VLAN కి బ్లాక్ సరైనది, టన్నెల్ను ఎప్పుడూ ఉపయోగించని అతిథి నెట్వర్క్కు తప్పు.
| Outcome | Right for | What breaks |
|---|---|---|
| Backup tunnel | Policy must hold, remote access required | New exit address, return route, slower rekey |
| Plain WAN | Guest or public-only traffic | Internal names, DNS and IPv6 exposure |
| Block | Payroll, admin, anything VPN-only | Users lose all access and call you |
మీరు నిజంగా భయపడే వైఫల్యానికి డిటెక్టర్ను సరిపోల్చండి
హ్యాండ్షేక్ స్థితి, ఇంటర్ఫేస్ స్థితి మరియు ఉపయోగకరమైన ఫార్వర్డింగ్ మూడు వేర్వేరు సంకేతాలు, వినియోగదారుకు చివరిది మాత్రమే ముఖ్యం. ప్రొవైడర్ అప్స్ట్రీమ్ ప్యాకెట్లను విసిరేస్తుండగా WireGuard పీర్ ఇటీవలి హ్యాండ్షేక్ను చూపవచ్చు. తాను నెట్టిన మార్గం పరిష్కారం కావడం ఆగిపోయిన తర్వాత కూడా OpenVPN క్లయింట్ «కనెక్ట్ అయింది» స్థితిలో ఉండవచ్చు.
pfSense లో ఆచరణాత్మక ఏర్పాటు dpinger ద్వారా నడిచే గేట్వే గ్రూప్, ఇది పర్యవేక్షణ చిరునామాన్ని పరిశీలించి నష్టం లేదా ఆలస్యం దాని పరిమితులను దాటినప్పుడు గేట్వేను డౌన్గా గుర్తిస్తుంది. ఆ పర్యవేక్షణను టన్నెల్కు ఆవల ఉన్న దానిపైకి మళ్లించండి, దూర LAN లోని హోస్ట్ లేదా దాని ద్వారా చేరే పబ్లిక్ చిరునామా వంటిది. దాన్ని టన్నెల్ స్వంత పీర్ చిరునామాపైకి మళ్లించడం మీకు ఇప్పటికే సజీవంగా తెలిసిన భాగాన్ని కొలుస్తుంది.
బ్యాకప్ చివరి మార్గంగానే ఉండేలా గ్రూప్ను నిర్మించండి
ఒకే చదునైన సభ్యుల జాబితాకు బదులుగా స్థాయిలను ఉపయోగించండి. ప్రధానమైనది స్థాయి 1 లో, బ్యాకప్ టన్నెల్ స్థాయి 2 లో, WAN స్థాయి 3 లో పాలసీ అనుమతించే VLAN లకు మాత్రమే. pfSense లో ఇది System > Routing > Gateway Groups కింద ఉంది: రెండు గేట్వేలను జోడించండి, వేర్వేరు స్థాయిలు ఇవ్వండి, Trigger Level ను సభ్యుడు డౌన్ మరియు ప్యాకెట్ నష్టం అని సెట్ చేయండి, సేవ్ చేయండి, తర్వాత గ్రూప్ను ఇంటర్ఫేస్ డిఫాల్ట్గా లేదా అవసరమైన ఫైర్వాల్ నియమాల Gateway ఫీల్డ్లో వర్తించండి.
pfSense 2.5 మరియు తర్వాత OpenVPN క్లయింట్ ఇన్స్టాన్స్ కోసం, ఇన్స్టాన్స్ Default Gateway సెట్టింగ్ టన్నెల్ సిస్టమ్ డిఫాల్ట్ మార్గాన్ని భర్తీ చేస్తుందా అని నిర్ణయిస్తుంది. నియమం ప్రకారం రూటింగ్ మీరు ఊహించిన మార్గం నిజంగా ఇన్స్టాల్ అయినప్పుడే మీరు ఆశించిన విధంగా ప్రవర్తిస్తుంది. మార్పు తర్వాత టన్నెల్ స్థితి చిహ్నాన్ని నమ్మడం బదులు Status > Gateways ను తనిఖీ చేయండి.
రెండు సెట్టింగ్లు ఎక్కువ ఫ్లాపింగ్కు కారణం. ఒకటి ప్రొవైడర్ సొంత పునర్-కన్వర్జెన్స్ కంటే చిన్న ప్రోబ్ విరామం. మరొకటి ప్రధాన మరియు బ్యాకప్ ఒకే స్థాయిని పంచుకునే గ్రూప్, కాబట్టి రెండూ ఎప్పుడూ అర్హత కలిగి ఉంటాయి. వినియోగదారులు మీ కోసం మార్పులను అనుభవించే ముందు నష్టం మరియు ఆలస్య పరిమితుల ద్వారా హిస్టెరిసిస్ జోడించండి.
టన్నెల్ ఎప్పుడూ కలిగి లేని మార్గాలను మూసివేయండి
మొదట DNS లీక్లు. రిజాల్వర్ WAN లో సమాధానం చెబుతూనే దాని నుండి ఫార్వర్డ్ చేస్తుంది, కాబట్టి ట్రాఫిక్ టన్నెల్కు అతికించబడి ఉన్నప్పుడు పేర్లు ISP ద్వారా పరిష్కారమవుతూనే ఉంటాయి. రిజాల్వర్ బయోగ్య ఇంటర్ఫేస్లను పరిమితం చేయండి, అంతర్గత రిజాల్వర్ను క్లయింట్లకు నెట్టండి, VPN మాత్రమే ఉన్న VLAN లలో మిగతా అన్నింటికీ పోర్ట్ 53 ను బ్లాక్ చేయండి.
IPv6 కి దాని సొంత నిర్ణయం కావాలి. డ్యూయల్-స్టాక్ LAN టన్నెల్ను కోల్పోయి పనిచేసే గ్లోబల్ IPv6 డిఫాల్ట్ మార్గాన్ని ఉంచుకోవచ్చు, కాబట్టి బ్రౌజర్లు IPv6 ను ఇష్టపడి WAN ద్వారా బయటకు వెళ్తాయి, IPv4 పూర్తిగా నియంత్రణలో ఉన్నట్టు కనిపిస్తుంది. ఒకటి IPv6 ను టన్నెల్లోకి రూట్ చేయండి లేదా టన్నెల్ డౌన్ ఉన్నప్పుడు గ్లోబల్ ప్రిఫిక్స్ ప్రకటనను ఆపండి. సగం పాలసీ ఏదీ లేకపోవడం కంటే దారుణం, ఎందుకంటే అది పనిచేస్తున్నట్టు కనిపిస్తుంది.
తర్వాత తిరిగి వచ్చే మార్గం. బ్యాకప్ నిష్క్రమణ వేరే మూల చిరునామాన్ని ఉపయోగిస్తే, ఆ చివరి వైపు ట్రాఫిక్ను దానికి ఎలా తిరిగి పంపాలో తెలియాలి, పాత చిరునామాకు కట్టుబడిన ప్రతి స్థితి ఇప్పటికే చనిపోయింది. ప్రధానం పడిపోయినప్పుడు తెరిచిన సెషన్లు వలస పోవు; అవి గడువు ముగిసే వరకు నిలిచి యాప్ ఏమి చేయాలో నిర్ణయిస్తుంది.
పడటం, ఫ్లాపింగ్ మరియు తిరిగి లోపలికి వెళ్లే మార్గాన్ని పరీక్షించండి
హాని లేని ట్రాఫిక్ నడుస్తుండగా ప్రధానాన్ని తీసేయండి, తర్వాత నాలుగు విషయాలు చదవండి: గ్రూప్ సభ్యుల స్థితుల కోసం Status > Gateways, పాత గేట్వేకు ఇంకా కట్టుబడిన స్థితుల కోసం pfctl -ss, నిష్క్రమణ మార్గం కోసం క్లయింట్ నుండి traceroute, ఏ సర్వర్ సమాధానం చెప్పిందో చూడటానికి రిజాల్వర్ క్వెరీ.
ఇప్పుడు దాన్ని ఫ్లాప్ చేయండి. ప్రధానాన్ని ముప్పై సెకన్లు పైకి, ముప్పై కిందకి, రెండుసార్లు. ట్రాఫిక్ ప్రతి మార్పును వెంబడిస్తే, పరిమితులు చాలా బిరుసుగా ఉన్నాయి లేదా స్థాయిలు తప్పు. దాన్ని మీ షెడ్యూల్లో సరిచేయండి, లేకపోతే ప్రొవైడర్ తమ షెడ్యూల్లో చేస్తారు.
చివరగా, రౌటర్ను ఇంకా నిర్వహించగలరా నిర్ధారించుకోండి. కన్సోల్ కేబుల్, నిర్వహణ VLAN లేదా సెల్యులార్ మోడెమ్ వంటి బ్యాండ్ వెలుపలి మార్గాన్ని ఉంచుకోండి. మిమ్మల్ని బయట లాక్ చేసే ఫెయిలోవర్ పరీక్ష మీరు పూర్తి చేయలేని పరీక్ష, చేరుకోలేని రౌటర్ తనంతట తాను తిరిగి రాలేదు.
పాలసీని పూర్తయిందని ప్రకటించే ముందు, టెర్మినల్ తెరవకుండా నాలుగు ప్రశ్నలకు సమాధానం చెప్పగలగాలి: టన్నెల్ డౌన్ ఉన్నప్పుడు ఏ VLAN లు WAN ఉపయోగించవచ్చు, డిటెక్టర్ ఏమి గమనిస్తుంది మరియు ఎంత సేపు వేచి ఉంటుంది, ఏ నేమ్ సర్వర్లు మరియు IPv6 మార్గాలు మార్గంతో కదులుతాయి, బ్యాకప్ కూడా విఫలమైతే ఎలా తిరిగి లోపలికి వస్తారు. ఏదైనా సమాధానం «డిఫాల్ట్ ఏమి ఉందో అది» అయితే, పాలసీ ఇంకా రౌటర్దే, మీది కాదు.