สองเกตเวย์ IPsec ไม่มี IP ร่วมกัน: เฟลโอเวอร์ทำอะไรจริง ๆ

ปิดเกตเวย์ A ระหว่างการประชุมแล้วดูอุโมงค์กลับมาผ่าน B ในอีกหนึ่งนาที การเชื่อมต่อทำงาน แต่การประชุมวิดีโออาจไม่ นี่คือรูปแบบที่ซื่อตรงของการสลับแบบเย็นระหว่างเกตเวย์ IPsec สองตัวที่มีที่อยู่แยกจากกัน ไคลเอนต์เลือกปลายทางใหม่และสร้างความสัมพันธ์ใหม่ ซึ่งฟื้นคืนการเข้าถึงได้โดยไม่ถ่ายโอนสถานะการเข้ารหัสของเซสชันเก่า การไล่ลำดับทำให้เห็นชัดว่าคำสัญญาใดที่การออกแบบรักษาได้

จัดฉาก: ที่อยู่สองแห่ง ไม่มี IP ลอย

เกตเวย์ A ตอบที่ที่อยู่หนึ่งซึ่งเข้าถึงได้ และเกตเวย์ B ตอบที่อีกที่อยู่หนึ่ง ไคลเอนต์มีวิธีที่ได้รับอนุมัติในการเลือก B เมื่อ A หายไป และไม่มีที่อยู่ภายนอกร่วมที่เกตเวย์ทั้งสองอ้างสิทธิ์ ในดีไซน์นี้ IP เสมือนหมายถึงจุดทางเข้าร่วมนั้น ไม่ใช่ที่อยู่ภายในที่มอบให้ไคลเอนต์เข้าถึงระยะไกล

คำจำกัดความนั้นสำคัญเพราะความคิดสองอย่างปนกันในตั๋ว และการแก้ของอย่างหนึ่งไม่ใช่การแก้ของอีกอย่าง รายงานว่าทางเข้าร่วมไม่ตามเกตเวย์ไป อธิบายดีไซน์หนึ่ง รายงานว่าแล็ปท็อปสูญเสียที่อยู่ภายใน อธิบายสัญญาเช่าของไคลเอนต์ เจ้าของต่างกัน บันทึกต่างกัน การซ่อมต่างกัน

ไล่ความล้มเหลว: ตรวจจับ แล้วเลือกใหม่

อย่างแรกมีบางสิ่งสังเกตว่า A หยุดตอบ อาจเป็นการตรวจจับคู่ที่ตายแล้วในชั้นอุโมงค์ โปรโตคอลเส้นทางที่ถอนเส้นทาง หรือเวลาหมดของแอปพลิเคชันที่บังคับให้เชื่อมต่อใหม่ในที่สุด แต่ละอย่างมีมาตราเวลาต่างกัน และตัวที่ช้าที่สุดมักกำหนดว่าผู้ใช้รอนานเท่าใด

จากนั้นไคลเอนต์เลือก B ผ่านกลไกใดก็ตามที่การติดตั้งรองรับ รีโมตที่กำหนดค่าไว้อันที่สอง ชื่อ DNS ที่แปลงเป็นที่อยู่ที่แข็งแรง หรือเส้นทางที่ตอนนี้ชอบเส้นทางอื่น การเลือกเป็นขั้นตอนนโยบาย และต้องมีอยู่ก่อนความล้มเหลว ไม่อย่างนั้นมันจะเกิดขึ้นโดยบังเอิญ

B สืบทอดอะไรได้และอะไรไม่ได้

B สามารถแบ่งปันแม่แบบการกำหนดค่า หน่วยออกใบรับรอง และนโยบายการรับรองความถูกต้องกับ A ได้ แต่ไม่สามารถสืบทอดสมาคมความปลอดภัยที่ยังมีชีวิตอยู่ได้ คีย์เซสชัน ดัชนีพารามิเตอร์ความปลอดภัย และสถานะลำดับเป็นของความสัมพันธ์ที่ A และไคลเอนต์สร้างขึ้น และ B ไม่มีสักอย่าง

การย้ายสถานะนั้นระหว่างเกตเวย์เป็นปัญหาวิศวกรรมจริง นั่นคือเหตุผลที่เอกสารความพร้อมใช้งานสูงของ strongSwan มองว่าเป็นดีไซน์คลัสเตอร์ ไม่ใช่แฟล็กการกำหนดค่า สูตรคลัสเตอร์แบบหนึ่งไม่ใช่คำตอบทั่วไปสำหรับเครือข่ายคลาวด์ และการคัดลอกโดยไม่มีโครงสร้างพื้นฐานรองรับก็ซื้อความซับซ้อนแทนความต่อเนื่อง

สร้างความสัมพันธ์ใหม่

เมื่อเลือก B แล้ว ไคลเอนต์ทำการแลกเปลี่ยน IKE ใหม่ ค่า nonce ใหม่ ค่า Diffie-Hellman ใหม่ ตัวระบุใหม่สำหรับสมาคมที่เกิดขึ้น การรับรองความถูกต้องเกิดขึ้นอีกครั้งที่ B หากดีไซน์อาศัยข้อมูลรับรองของเครื่อง การเชื่อมต่อใหม่อาจไม่มีผู้ดูแล หากต้องใช้ปัจจัยมนุษย์ ต้องมีคนอยู่เพื่อให้เฟลโอเวอร์เสร็จสมบูรณ์

กำหนดประสบการณ์ผู้ใช้ก่อนการขัดข้อง ไม่ใช่ระหว่างนั้น บอกให้ชัดว่าไคลเอนต์จะทำอะไร พยายามนานแค่ไหน และจะแสดงอะไรเมื่อยอมแพ้ เพราะความต่างระหว่างการเชื่อมต่อใหม่หนึ่งนาทีกับสายสนับสนุนมักคือเอกสารและโปรไฟล์ที่ผ่านการทดสอบ

การรักษาที่อยู่ภายในเดิมช่วยแอปพลิเคชันที่คาดหวังตัวตนภายในที่มั่นคง และไม่ได้รักษาเซสชันของมัน การผูก NAT หมดอายุ การเชื่อมต่อ TCP ถูกตั้งใหม่ และอะไรก็ตามที่มีเวลาหมดของตัวเองจะตัดสินใจเองว่าจะลองใหม่หรือไม่

สองอุโมงค์ขนานกันเป็นดีไซน์อีกแบบ

การรันอุโมงค์ทั้งสองพร้อมกันเป็นรูปแบบที่ใช้ได้เมื่อเกตเวย์ทั้งสองและดีไซน์เส้นทางรองรับ เมื่อนั้นการเลือกเส้นทางจะเลือกเส้นทางที่ใช้งาน และเส้นทางขากลับต้องสอดคล้อง มิฉะนั้นทราฟฟิกจะออกทางเกตเวย์หนึ่งและกลับมาอีกทางหนึ่งโดยไม่มีสถานะมาจับคู่

นโยบายอุโมงค์ที่ทับซ้อนไม่ได้สร้างเฟลโอเวอร์ที่เป็นระเบียบด้วยตัวเอง พวกมันสร้างผู้สมัครสองราย และมีบางสิ่งต้องตัดสินระหว่างกันอย่างแน่นอนชัดเจน ไม่ว่าจะเป็นเมตริกเส้นทาง ลำดับความสำคัญของนโยบาย หรือการตั้งค่าเฉพาะในไคลเอนต์

ไม่ว่าจะเลือกรูปแบบใด เขียนสัญญาไว้: ตรวจจับความล้มเหลวอย่างไร เลือกทางเลือกอย่างไร ต้องรับรองความถูกต้องแบบใด และคาดว่าการเชื่อมต่อใหม่จะใช้เวลานานเท่าใด IP ร่วมกันทำให้การค้นหาง่ายขึ้นได้ แต่ไม่ใช่คำพ้องของสถานะต่อเนื่อง และความพร้อมใช้งานก็เป็นดีไซน์ไม่ว่าจะทางใด