రెండవ WAN VPN ప్రవేశం విఫలమవుతుంది, ప్రాథమికమైనది ఇంకా పనిచేస్తూనే ఉంటుంది

ప్రాథమిక సొరంగం నడుస్తూనే ఉంటుంది, వినియోగదారులు పని కొనసాగిస్తారు, మీరు ఏమి మార్చినా రెండవ ISP సర్క్యూట్ ఖాళీగా ఉంటుంది. బ్యాకప్ సర్క్యూట్ కోసం మీరు చిరునామాను ప్రచురించారు, దానికి ఒక పేరును చూపించారు, బహుశా క్లయింట్కు బ్యాకప్ ప్రవేశాన్ని జోడించారు, క్లయింట్ దాన్ని ఎప్పుడూ ప్రయత్నించదు లేదా ప్రామాణీకరించుకొని తర్వాత మరణిస్తుంది. నేను గుర్తించిన సందర్భాలలో ఫెయిలోవర్ లక్షణం సాధారణంగా బాగానే ఉంది; ప్రవేశాన్ని ఉపయోగపడేలా చేసే ఐదింటిలో ఒకటి లేదు. ఆ ఇంటర్ఫేస్పై ఏమీ వినిపించకపోయినా పేరు బ్యాకప్ చిరునామాకు పరిష్కరించబడవచ్చు, ప్రతిస్పందన ప్రాథమిక ద్వారా బయటకు వెళుతున్నప్పుడు కూడా శ్రోత కనెక్షన్ను అంగీకరించవచ్చు. ప్రతి WAN ను దాని సొంత ఒప్పందంతో వేరే ప్రవేశంగా పరిగణించండి, అప్పుడు వైఫల్యం క్లయింట్ బగ్గా కనిపించడం ఆగుతుంది.

ప్రతి WAN కి దాని సొంత ప్రవేశ ఒప్పందం అవసరం

ప్రతి WAN కి ఐదు క్షేత్రాలను నమోదు చేయండి: పబ్లిక్ పేరు మరియు చిరునామా, రవాణా మరియు పోర్టు, దాన్ని ముగించే ఇంటర్ఫేస్ లేదా సందర్భం, అది ప్రదర్శించాల్సిన పీర్ గుర్తింపు, మరియు ప్రతిస్పందన ఎక్కడి నుంచి బయటకు వెళుతుంది. రెండు సర్క్యూట్లు అంటే రెండు పూర్తి సెట్లు. రెండవ సెట్కు ముగింపు ఇంటర్ఫేస్ లేదా తిరిగి వచ్చే మార్గం లేకపోతే, మీకు బ్యాకప్ ప్రవేశం లేదు; ఒక ఉద్దేశాన్ని వివరించే DNS రికార్డు ఉంది.

పరికరం మరియు దాని విడుదల కూడా ఈ ఏర్పాటును మద్దతు ఇవ్వాలి. DNS రికార్డు మరో ఇంటర్ఫేస్పై సేవను తెరవలేదు, చాలా ప్లాట్ఫారమ్లలో శ్రోత పరికరం ప్రకారం కాకుండా చిరునామా ప్రకారం కాన్ఫిగర్ చేయబడుతుంది. ASA లో ఇంటర్ఫేస్ ఆధారిత IPsec క్రిప్టో మ్యాప్లను మరియు టన్నెల్ గ్రూపులను బయటి ఇంటర్ఫేస్కు కట్టివేస్తుంది, కాబట్టి రెండవ అప్లింక్కు ఆ ప్యాకెట్లు నిజంగా వచ్చే చోట పాలసీ అవసరం. మార్గ ఆధారిత డిజైన్లు భిన్నంగా ప్రవర్తిస్తాయి: శ్రోత ప్రతి చిరునామాకు లేదా ఒక పేరున్న చిరునామాకు కట్టుబడవచ్చు, ఆ ఎంపిక ISP B అసలు సమాధానం ఇవ్వగలదా అని నిర్ణయిస్తుంది.

రెండవ WAN నిజంగా సమాధానం ఇస్తుందా అని తనిఖీ చేయండి

రెండు సర్క్యూట్ల బయటి నుంచి పరీక్షించండి, గేట్వే వెనుక ఉన్న మెషీన్ నుంచి కాదు, మరియు క్లయింట్ ప్రొఫైల్ ఉపయోగించే సరైన పేరునే పరీక్షించండి. TLS శ్రోతకు వేగవంతమైన తనిఖీ openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts మీ నెట్వర్క్ వెలుపల ఉన్న హోస్ట్ నుంచి అమలు చేయబడటం. ప్రొఫైల్లోని పేరుతో దాని గొలుసు సరిపోలే పూర్తయిన హ్యాండ్షేక్ కావాలి, కనెక్షన్ను అంగీకరించే TCP పోర్టు మాత్రమే కాదు.

RFC 9525 క్లయింట్ ఏమి తనిఖీ చేస్తుందో వివరిస్తుంది: అది చేరుకోవాలనుకున్న గుర్తింపు, సేవ అందించే సర్టిఫికెట్తో పోల్చబడుతుంది. ప్రాథమిక ప్రవేశం యొక్క సర్టిఫికెట్ను తిరిగి ఇచ్చే రెండవ ప్రవేశం, లేదా రెండు పేర్లలో దేన్నీ జాబితా చేయని డిఫాల్ట్ సర్టిఫికెట్, పోర్టు తెరిచి ఉన్నా ఫైర్వాల్ అనుమతించినా ఈ పరీక్షలో విఫలమవుతుంది.

ఇక్కడి చాలా వైఫల్యాలను రెండు నమూనాలు వివరిస్తాయి. వేలాడుతున్న కనెక్షన్ సాధారణంగా ఆ ఇంటర్ఫేస్పై శ్రోత లేదు, ప్రాథమిక సబ్నెట్లకు మాత్రమే అనుమతించే యాక్సెస్ నియమం, లేదా రెండవ సర్క్యూట్ ముందున్న క్యారియర్ పరికరం పోర్టును వదిలేస్తోంది అని అర్థం. తప్పు గుర్తింపుతో ముగిసే హ్యాండ్షేక్ సాధారణంగా వేరే ట్రస్ట్పాయింట్, డిఫాల్ట్ వర్చువల్ హోస్ట్, లేదా గుర్తింపును సర్దుబాటు చేయకుండా ప్రాథమికం నుంచి కాపీ చేసిన కాన్ఫిగరేషన్ అని అర్థం.

ప్రతిస్పందనను అనుసరించండి, అభ్యర్థనను మాత్రమే కాదు

రెండవ WAN సాధారణంగా తిరుగు మార్గంలో విరిగిపోతుంది. అభ్యర్థన ISP B కి వస్తుంది, పరికరం సమాధానం ఇస్తుంది, ప్రతిస్పందన ISP A లోని డిఫాల్ట్ మార్గం ద్వారా బయటకు వెళుతుంది, క్లయింట్ ఎప్పుడూ అడగని మూల చిరునామాతో. స్థితి కలిగిన అనువాదం దాన్ని మరింత దిగజారుస్తుంది: మ్యాపింగ్ ప్రాథమిక ఇంటర్ఫేస్ కోసం నిర్మించబడితే, తిరిగి వచ్చే ప్యాకెట్ అనువాదాన్ని తప్పిస్తుంది లేదా క్లయింట్ ఫైర్వాల్ విసిరే మూలాన్ని మోస్తుంది. ప్రదాతలు మీకు ఇచ్చిన సర్క్యూట్కు చెందని మూల చిరునామాలను కూడా విసిరేస్తారు, అందుకే ఇది శుభ్రమైన ప్రోటోకాల్ లోపంగా కాకుండా ఒక-వైపు నల్ల రంధ్రంగా కనిపిస్తుంది.

రెండవ ప్రవేశం నుంచి మూలమైన ట్రాఫిక్ కోసం మార్గనిర్ణయాన్ని తనిఖీ చేయండి. ప్రతిస్పందన అభ్యర్థన వచ్చిన ఇంటర్ఫేస్ ద్వారానే బయటకు వెళ్లాలి, లేదా కనీసం ఆ మార్గానికి చెందినదిగా దూరపు వైపు అంగీకరించే చిరునామాను మోయాలి. పాలసీ మార్గనిర్ణయ వేదికలపై దీని అర్థం వచ్చే ఇంటర్ఫేస్ లేదా అనువదించబడిన మూలానికి కీలకమైన నియమం, దానితో పాటు ప్రతి బయటి ఇంటర్ఫేస్కు కట్టిన అనువాద ప్రకటన. క్లయింట్ కనెక్ట్ అవుతున్నప్పుడు రెండు ఇంటర్ఫేస్లపై ఏకకాలంలో క్యాప్చర్ చేయండి; ISP B పై వచ్చే SYN మరియు ISP A పై బయటకు వెళ్లే SYN-ACK ఒకే పరుగులో ప్రశ్నను పరిష్కరిస్తాయి.

రెండవ ప్రవేశం గురించి తెలుసుకోవడానికి క్లయింట్కు మార్గం ఇవ్వండి

ఫెయిలోవర్ అనేది క్లయింట్ వైపు నిర్ణయం, ప్రతి క్లయింట్ కుటుంబం ప్రత్యామ్నాయాల గురించి వేర్వేరుగా తెలుసుకుంటుంది. ASA లో బ్యాకప్-సర్వర్ జాబితా గ్రూప్ పాలసీ యొక్క webvpn లక్షణాల ద్వారా అందించబడుతుంది, మరి కొన్ని క్లయింట్లు ప్రొఫైల్ లోపల జాబితాను లేదా వినియోగదారు ఎంచుకునే మాన్యువల్ రెండవ ప్రొఫైల్ను ఆశిస్తాయి. Cisco యొక్క కనెక్షన్ పాలసీ గైడ్ క్లయింట్ కాన్ఫిగర్ చేసిన మరియు గేట్వే అందించిన బ్యాకప్ సమాచారం రెండింటినీ వివరిస్తుంది, ఆ ప్రోటోకాల్-నిర్దిష్ట వివరాలను ప్రతి క్లయింట్కు లేదా టన్నెల్ మోడ్కు సాధారణీకరించకూడదు. తప్పుదాని చుట్టూ రెండవ ప్రవేశాన్ని నిర్మించే ముందు అమలు చేసిన క్లయింట్ ఏ యంత్రాంగాన్ని అమలు చేస్తుందో నిర్ధారించండి.

యంత్రాంగం ఏదైనా, ప్రాథమిక మార్గాన్ని కోల్పోయే ముందు క్లయింట్ ప్రత్యామ్నాయ పేరును పరిష్కరించగలగాలి. ఆ ఆధారపడటాన్ని ప్రజలు తప్పిస్తారు: బ్యాకప్ పేరుకు ఇప్పుడే విఫలమైన సొరంగం ద్వారా మాత్రమే చేరగల పరిష్కర్త సమాధానం ఇస్తే, బ్యాకప్ ప్రారంభం కూడా కాలేదు. రెండవ పేరును స్థానికంగా లేదా ఇంటర్నెట్ ద్వారా సమాధానం ఇచ్చే పరిష్కర్తలో ప్రచురించండి. మారిన తర్వాత కొత్త ప్రామాణీకరణ మరియు కొత్త అప్లికేషన్ సెషన్ ఆశించండి, ఎందుకంటే క్లయింట్ ఫెయిలోవర్ స్థితి కలిగిన ఫెయిలోవర్ కాదు మరియు దీర్ఘకాలిక సెషన్లు దాన్ని దాటి నిలవవు.

రెండు ప్రదాతలపై ఒకే చిరునామా వేరే ఉత్పత్తి

ఒకే పబ్లిక్ చిరునామాను రెండు సర్క్యూట్ల ద్వారా చేరగలిగేలా ఉంచడం మార్గనిర్ణయ సేవ, VPN లోని చెక్బాక్స్ కాదు. రెండు ప్రదాతలూ మోయడానికి సిద్ధమైన చిరునామా స్థలం అవసరం, వాళ్ల నెట్వర్క్లు అంగీకరించే విధంగా ప్రకటించబడాలి, దాన్నే ప్రదాత-స్వతంత్ర స్థలం మరియు BGP తో కూడిన మల్టీహోమింగ్ అందిస్తుంది. ISP A చిరునామాను ISP B ఇంటర్ఫేస్కు కేటాయించడం అక్కడికి చేర్చదు; ప్యాకెట్ ఆ ప్రిఫిక్స్ను ఎప్పుడూ ప్రకటించని నెట్వర్క్కు చేరి పై దిశలో విసిరివేయబడుతుంది.

రెండు ప్రవేశాలను ప్రచురించడానికి ఇవేవీ అవసరం లేదు. క్లయింట్ రెండు పేర్లను ఉంచుకొని వాటి మధ్య ఫెయిల్ కాగలిగితే, రెండు స్వతంత్ర ప్రవేశాలు చాలు, అప్పుడు AS నంబర్, పీరింగ్ ఏర్పాటు మరియు ప్రతిచోటా అంగీకరించాల్సిన ప్రిఫిక్స్ తప్పించుకుంటారు. క్లయింట్లు పునఃకాన్ఫిగర్ చేసి భర్తీ చేయలేని ఒక స్థిరమైన ప్రవేశ బిందువు నిజంగా అవసరమైనప్పుడు మాత్రమే పోర్టబుల్ చిరునామా ఎంపికను పరిగణించండి, లేదా TTL ఆలస్యంతో కూడిన DNS ఆధారిత ఫెయిలోవర్ మీరు రూపొందిస్తున్న అంతరాయానికి చాలా నెమ్మదిగా ఉన్నప్పుడు.

తర్వాత ఏమి తనిఖీ చేయాలి

విఫలమవుతున్న ప్రవేశం నుంచి బయటకు ఈ క్రమంలో పని చేయండి: రెండవ చిరునామా బయటి నుంచి సమాధానం ఇస్తుందా, క్లయింట్ ఆశించే గుర్తింపును ప్రదర్శిస్తుందా, అభ్యర్థన వచ్చిన మార్గంలోనే ప్రతిస్పందన బయటకు వెళుతుందా, అవసరం రాకముందే క్లయింట్ పేరును తెలుసుకోగలదా. సమాధానం లేదు అన్న చోట ఆ పొరను సరిచేసి, పరీక్షా హోస్ట్కు బదులు అమలు చేసిన ప్రొఫైల్తో మళ్లీ పరీక్షించండి, ఎందుకంటే ల్యాబ్ హ్యాండ్షేక్ నిజమైన క్లయింట్ యొక్క పూర్తి కనెక్షన్ కంటే తక్కువ నిరూపిస్తుంది.

ప్రతి WAN కి చిరునామా, పోర్టు, ముగింపు ఇంటర్ఫేస్, సర్టిఫికెట్ పేరు, తిరుగు మార్గం మరియు అనువాద నియమంతో కూడిన చిన్న నమోదు ఉంచండి, మరియు సర్క్యూట్, NAT పరికరం లేదా క్లయింట్ వెర్షన్ మారిన ప్రతిసారీ మళ్లీ తనిఖీ చేయండి. నిష్క్రియ బ్యాకప్ మార్గాలు నిశ్శబ్దంగా కుళ్లిపోతాయి: ఎవరూ ఉపయోగించని ప్రవేశం గురించి ఎవరికీ హెచ్చరిక రాదు, అందరూ దానిపై ఆధారపడే రోజు వరకు.