WAN VPN รายการที่สองล้มเหลวในขณะที่รายการหลักยังทำงานอยู่

อุโมงค์หลักยังคงทำงานอยู่ ผู้ใช้ยังทำงานต่อ และวงจร ISP วงที่สองก็ยังว่างอยู่ไม่ว่าคุณจะเปลี่ยนอะไร คุณได้เผยแพร่ที่อยู่สำหรับวงจรสำรอง ชี้ชื่อไปที่อยู่ดังกล่าว อาจเพิ่มรายการสำรองในไคลเอนต์ และไคลเอนต์ก็ไม่เคยลองใช้เลย หรือพิสูจน์ตัวตนเสร็จแล้วก็ขาดหายไป ในกรณีที่ผมตามรอยไว้ ฟีเจอร์สลับสำรองมักทำงานปกติ สิ่งที่ขาดคือหนึ่งในห้าอย่างที่ทำให้รายการใช้งานได้ ชื่ออาจแปลงไปยังที่อยู่สำรองได้ในขณะที่ไม่มีอะไรรับฟังบนอินเทอร์เฟซนั้น และตัวรับฟังอาจรับการเชื่อมต่อได้ในขณะที่คำตอบออกไปทางรายการหลัก มองแต่ละ WAN เป็นรายการแยกที่มีสัญญาของตัวเอง แล้วความล้มเหลวจะไม่ดูเหมือนบั๊กของไคลเอนต์อีก

แต่ละ WAN ต้องมีสัญญารายการของตัวเอง

บันทึกห้าฟิลด์ต่อ WAN: ชื่อและที่อยู่สาธารณะ การขนส่งและพอร์ต อินเทอร์เฟซหรือบริบทที่สิ้นสุดมัน ตัวตนของคู่ที่ควรนำเสนอ และจุดที่คำตอบออกไป สองวงจรหมายถึงสองชุดที่สมบูรณ์. ถ้าชุดที่สองไม่มีอินเทอร์เฟซสิ้นสุดหรือไม่มีเส้นทางขากลับ คุณยังไม่มีรายการสำรอง คุณมีระเบียน DNS ที่อธิบายความตั้งใจ

อุปกรณ์และเวอร์ชันของมันก็ต้องรองรับการจัดวางนี้ด้วย ระเบียน DNS เปิดบริการบนอินเทอร์เฟซอื่นไม่ได้ และบนหลายแพลตฟอร์มตัวรับฟังถูกกำหนดค่าตามที่อยู่ไม่ใช่อุปกรณ์ IPsec แบบอิงอินเทอร์เฟซบน ASA ผูก crypto map และกลุ่มอุโมงค์เข้ากับอินเทอร์เฟซด้านนอก ดังนั้นลิงก์อัปที่สองต้องมีนโยบายที่จุดที่แพ็กเก็ตเหล่านั้นมาถึงจริง การออกแบบแบบอิงเส้นทางทำงานต่างออกไป ตัวรับฟังอาจผูกกับทุกที่อยู่หรือที่อยู่ที่ตั้งชื่อไว้หนึ่งที่ และตัวเลือกนั้นตัดสินว่า ISP B จะตอบได้หรือไม่

ตรวจสอบว่า WAN ที่สองตอบจริง

ทดสอบจากภายนอกทั้งสองวงจร ไม่ใช่จากเครื่องที่อยู่หลังเกตเวย์ และทดสอบชื่อที่โปรไฟล์ไคลเอนต์ใช้จริง สำหรับตัวรับฟัง TLS การตรวจเร็วคือ openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts ที่รันจากโฮสต์ภายนอกเครือข่ายของคุณ คุณต้องการแฮนด์เชกที่เสร็จสมบูรณ์ซึ่งห่วงโซ่ตรงกับชื่อในโปรไฟล์ ไม่ใช่แค่พอร์ต TCP ที่รับการเชื่อมต่อ

RFC 9525 อธิบายสิ่งที่ไคลเอนต์ตรวจสอบ ตัวตนที่มันตั้งใจจะไปถึง เทียบกับใบรับรองที่บริการนำเสนอ รายการที่สองที่คืนใบรับรองของรายการหลัก หรือใบรับรองเริ่มต้นที่ไม่มีชื่อใดในสองชื่อนั้น ล้มเหลวในการทดสอบนี้แม้พอร์ตจะเปิดและไฟร์วอลล์อนุญาต

สองรูปแบบอธิบายความล้มเหลวส่วนใหญ่ที่นี่ การเชื่อมต่อที่ค้างมักหมายความว่าไม่มีตัวรับฟังบนอินเทอร์เฟซนั้น กฎการเข้าถึงที่อนุญาตเฉพาะซับเน็ตหลัก หรืออุปกรณ์ของผู้ให้บริการที่อยู่หน้าวงจรที่สองทิ้งพอร์ต แฮนด์เชกที่จบด้วยตัวตนผิดมักหมายถึงจุดความเชื่อถืออื่น โฮสต์เสมือนเริ่มต้น หรือการกำหนดค่าที่คัดลอกจากรายการหลักโดยไม่ได้ปรับตัวตน

ติดตามคำตอบ ไม่ใช่แค่คำขอ

WAN ที่สองมักพังบนเส้นทางขากลับ คำขอมาถึง ISP B อุปกรณ์ตอบ และคำตอบออกไปทางเส้นทางเริ่มต้นบน ISP A พร้อมที่อยู่ต้นทางที่ไคลเอนต์ไม่เคยขอ การแปลแบบมีสถานะทำให้แย่ลง ถ้าแมปถูกสร้างสำหรับอินเทอร์เฟซหลัก แพ็กเก็ตขากลับจะพลาดการแปลหรือพาต้นทางที่ไฟร์วอลล์ของไคลเอนต์ทิ้ง ผู้ให้บริการยังทิ้งที่อยู่ต้นทางที่ไม่ได้เป็นของวงจรที่ให้คุณมา ซึ่งเป็นเหตุผลที่สิ่งนี้ดูเหมือนหลุมดำทางเดียวแทนที่จะเป็นข้อผิดพลาดโปรโตคอลที่สะอาด

ตรวจสอบการตัดสินใจเลือกเส้นทางสำหรับทราฟฟิกที่มีต้นทางจากรายการที่สอง คำตอบควรออกทางอินเทอร์เฟซที่คำขอมาถึง หรืออย่างน้อยพาที่อยู่ที่ฝั่งไกลยอมรับว่าเป็นของเส้นทางนั้น บนแพลตฟอร์มที่ใช้เส้นทางตามนโยบาย นั่นหมายถึงกฎที่ผูกกับอินเทอร์เฟซขาเข้าหรือต้นทางที่แปลแล้ว พร้อมคำสั่งแปลที่ผูกกับอินเทอร์เฟซด้านนอกแต่ละอัน จับแพ็กเก็ตบนทั้งสองอินเทอร์เฟซพร้อมกันขณะไคลเอนต์เชื่อมต่อ SYN ที่เข้ามาบน ISP B กับ SYN-ACK ที่ออกไปบน ISP A ตัดสินคำถามได้ในการรันครั้งเดียว

ให้ไคลเอนต์มีวิธีรู้จักรายการที่สอง

การสลับสำรองเป็นการตัดสินใจฝั่งไคลเอนต์ และไคลเอนต์แต่ละตระกูลเรียนรู้ทางเลือกต่างกัน บน ASA รายการเซิร์ฟเวอร์สำรองถูกส่งผ่านแอตทริบิวต์ webvpn ของนโยบายกลุ่ม ขณะที่ไคลเอนต์อื่นคาดหวังรายการในโปรไฟล์หรือโปรไฟล์ที่สองแบบกำหนดเองที่ผู้ใช้เลือก คู่มือ connection policy ของ Cisco อธิบายทั้งข้อมูลสำรองที่กำหนดค่าในไคลเอนต์และที่เกตเวย์ให้มา และรายละเอียดเฉพาะโปรโตคอลเหล่านั้นไม่ควรนำไปใช้ทั่วไปกับทุกไคลเอนต์หรือทุกโหมดอุโมงค์ ยืนยันว่าไคลเอนต์ที่ติดตั้งใช้กลไกใดก่อนจะสร้างรายการที่สองรอบกลไกที่ผิด

ไม่ว่าจะใช้กลไกใด ไคลเอนต์ต้องแปลงชื่อทางเลือกได้ก่อนจะเสียเส้นทางหลัก การพึ่งพานี้คือสิ่งที่คนมองข้าม ถ้าชื่อสำรองถูกตอบโดยตัวแปลงที่เข้าถึงได้เฉพาะผ่านอุโมงค์ที่เพิ่งล้มเหลว การสลับสำรองก็เริ่มไม่ได้เลย เผยแพร่ชื่อที่สองในตัวแปลงที่ตอบในเครื่องหรือผ่านอินเทอร์เน็ต คาดว่าจะมีการพิสูจน์ตัวตนใหม่และเซสชันแอปพลิเคชันใหม่หลังย้าย เพราะการสลับสำรองฝั่งไคลเอนต์ไม่ใช่การสลับแบบมีสถานะ และเซสชันอายุยาวไม่รอด

ที่อยู่เดียวบนสองผู้ให้บริการคือผลิตภัณฑ์อีกแบบ

การทำให้ที่อยู่สาธารณะเดียวเข้าถึงได้ผ่านทั้งสองวงจรเป็นบริการจัดเส้นทาง ไม่ใช่ช่องทำเครื่องหมายใน VPN ต้องมีพื้นที่ที่อยู่ที่ผู้ให้บริการทั้งสองยินดีพาไป ประกาศในแบบที่เครือข่ายของพวกเขายอมรับ ซึ่งคือสิ่งที่มัลติโฮมมิงด้วยพื้นที่ที่เป็นอิสระจากผู้ให้บริการและ BGP ให้ การกำหนดที่อยู่ของ ISP A ให้อินเทอร์เฟซของ ISP B ไม่ได้พาคุณไปถึงที่นั่น แพ็กเก็ตไปถึงเครือข่ายที่ไม่เคยประกาศคำนำหน้านั้นและถูกทิ้งต้นน้ำ

คุณไม่ต้องมีอะไรเหล่านี้เพื่อเผยแพร่สองรายการ ถ้าไคลเอนต์ถือสองชื่อและสลับระหว่างกันได้ สองรายการที่เป็นอิสระก็เพียงพอ และคุณหลีกเลี่ยงหมายเลข AS ข้อตกลงเพียริ่ง และคำนำหน้าที่ต้องได้รับการยอมรับทุกที่ พิจารณาตัวเลือกที่อยู่พกพาเฉพาะเมื่อคุณต้องการจุดเข้าที่เสถียรหนึ่งจุดที่ไคลเอนต์ไม่สามารถกำหนดใหม่เพื่อแทนที่ได้จริง ๆ หรือเมื่อการสลับสำรองแบบอิง DNS ที่มีความหน่วง TTL ช้าเกินไปสำหรับเหตุขัดข้องที่คุณออกแบบรับมือ

สิ่งที่ควรตรวจต่อไป

ทำงานจากรายการที่ล้มเหลวออกไปด้านนอกตามลำดับนี้ ที่อยู่ที่สองตอบจากภายนอกหรือไม่ นำเสนอตัวตนที่ไคลเอนต์คาดหวังหรือไม่ คำตอบออกไปตามเส้นทางที่คำขอเข้ามาหรือไม่ และไคลเอนต์รู้ชื่อได้ก่อนต้องการหรือไม่ เมื่อคำตอบคือไม่ ให้แก้ชั้นนั้นแล้วทดสอบใหม่ด้วยโปรไฟล์ที่ติดตั้งจริงไม่ใช่โฮสต์ทดสอบ เพราะแฮนด์เชกจากห้องแล็บพิสูจน์ได้น้อยกว่าการเชื่อมต่อที่สมบูรณ์จากไคลเอนต์จริง

เก็บบันทึกสั้น ๆ ต่อ WAN พร้อมที่อยู่ พอร์ต อินเทอร์เฟซสิ้นสุด ชื่อใบรับรอง เส้นทางขากลับ และกฎการแปล และตรวจซ้ำทุกครั้งที่วงจร อุปกรณ์ NAT หรือเวอร์ชันไคลเอนต์เปลี่ยน เส้นทางสำรองที่ไม่ได้ใช้จะเน่าเงียบ ๆ ไม่มีอะไรเตือนเกี่ยวกับรายการที่ไม่มีใครใช้จนถึงวันที่ทุกคนพึ่งมัน