การลดเวลาของ DPD ไม่ทำให้ VPN สลับได้เร็วขึ้น

อุโมงค์ขาด การกู้คืนใช้เวลเก้าสิบวินาที และตัวจับเวลาคู่ที่ตายแล้วตั้งไว้ที่สิบ จึงถูกโทษว่าอยู่ที่ตัวจับเวลา เหตุผลนั้นข้ามสามระยะที่เกิดขึ้นหลังการตรวจจับและมักใช้เวลาส่วนใหญ่ การตรวจจับการมีชีวิตสังเกตความเงียบ จากนั้นการเลือกคู่ การพิสูจน์ตัวตน การติดตั้งเส้นทาง และการเชื่อมต่อแอปพลิเคชันใหม่ก็ผลัดกันใช้เวลา การลดระยะแรกไม่สามารถลดระยะอื่นได้ และอาจเพิ่มความวุ่นวายให้ระบบที่กำลังฝืนตัวอยู่แล้ว

สี่ระยะ ซึ่งหนึ่งในนั้นคุณจับเวลาได้

เขียนการกู้คืนเป็นสี่เหตุการณ์พร้อมตราเวลา ความล้มเหลวกลายเป็นสิ่งที่สังเกตได้: ทราฟฟิกที่ป้องกันครั้งสุดท้ายที่มีประโยชน์และคำขอแรกที่ล้มเหลว กลไกที่เป็นเจ้าของตอบสนอง: การตรวจจับการมีชีวิต ตัวเฝ้าเส้นทาง หรือตัวกระตุ้นอื่นที่มีเอกสารกำกับ ทางเลือกกลายเป็นใช้ได้: การเลือกคู่ การพิสูจน์ตัวตน การเชื่อมโยงใหม่ และเส้นทางที่บรรทุกทราฟฟิกที่ตั้งใจจริง ๆ แอปพลิเคชันฟื้นคืน: การดำเนินการใหม่สำเร็จ และสิ่งที่กำลังดำเนินอยู่มีผลลัพธ์ที่กำหนดไว้

กฎการมีชีวิตของ IKEv2 อธิบายหลักฐานเกี่ยวกับคู่และการแลกเปลี่ยนของคู่ ไม่ได้กล่าวถึงฐานข้อมูลหรือบริการไฟล์ที่อยู่เบื้องหลังคู่นั้นเลย การอ่านการหมดเวลาของการมีชีวิตเป็นการตรวจสุขภาพของเส้นทางทั้งหมดคือความผิดพลาดที่เริ่มการล่าตัวจับเวลา

ทำไมตัวจับเวลาจึงเป็นตัวเลขที่น่าสนใจน้อยที่สุด

ค่าที่กำหนดไว้ไม่ใช่หน่วยที่แลกเปลี่ยนกันได้ บางค่าเป็นช่วงการลองใหม่ บางค่าเป็นขอบเขตบนของการพยายาม และบางค่าทำงานพร้อมกับค่าอื่น การบวกเข้าด้วยกันให้ตัวเลขที่ดูเหมือนการพยากรณ์แต่ประพฤติเหมือนข่าวลือ อ่านเอกสารของฟิลด์ที่คุณกำลังจะแตะ และสังเกตว่ามันเป็นหนึ่งในสามชนิดใด

ระยะอื่นไม่ใช่ตัวจับเวลาเลย การหน่วงการเชื่อมต่อใหม่ การถามพิสูจน์ตัวตนแบบโต้ตอบ หรือไคลเอนต์ที่ประเมินการกำหนดค่าใหม่เฉพาะเมื่อเริ่มระบบใหม่ แต่ละอย่างสามารถครอบงำการหยุดชะงักได้ในขณะที่ตัวจับเวลาของโปรโตคอลทุกตัวนั่งต่ำอย่างสบาย

วัดระยะที่ช้าจริง ๆ

จับความล้มเหลวหนึ่งครั้ง พร้อมตราเวลาทั้งสองด้าน แล้วเปรียบเทียบสี่เหตุการณ์แทนที่จะเป็นตัวนับของโปรโตคอลเอง หน้าต่างการสังเกตหนึ่งครั้งที่ทำอย่างถูกต้องดีกว่าการปรับแต่งหนึ่งเดือน

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

ถ้าปลายทางทางเลือกไม่ตอบกลับเลย การเปลี่ยนตัวจับเวลาก็ไม่ช่วย เพราะการเข้าถึงไม่ได้ไม่ใช่ปัญหาการตรวจจับ ถ้าสถานะความปลอดภัยใหม่เกิดขึ้นอย่างรวดเร็วแต่เส้นทางยังชี้ไปที่เส้นทางที่ตายแล้ว ปัญหาอยู่ที่การติดตั้งเส้นทาง และการปรับการมีชีวิตอีกครั้งก็เพิ่มความวุ่นวายเท่านั้น

ทางเลือกต้องพร้อมใช้อยู่แล้ว

แบ็กอัปที่กำหนดไว้ในการกำหนดค่าไม่ใช่แบ็กอัปที่ใช้งานได้ ต้องเข้าถึงได้จากเครือข่ายปัจจุบันของไคลเอนต์ สามารถพิสูจน์ตัวตนเดียวกันได้ และได้รับอนุญาตให้บรรทุกทราฟฟิกเดียวกันภายใต้นโยบายเดียวกัน หากพบช่องว่างทั้งสามนี้ข้อใดข้อหนึ่งระหว่างการหยุดชะงัก การถกเถียงเรื่องตัวจับเวลาก็ไม่เกี่ยวข้อง ทดสอบทางเลือกขณะที่ตัวหลักแข็งแรง เพราะนั่นเป็นเวลาเดียวที่คุณอ่านบันทึกทั้งสองข้างเคียงกันได้

เตรียมทางเลือกไว้ล่วงหน้า ทดสอบอย่างตั้งใจขณะที่ตัวหลักแข็งแรง และบันทึกว่าระยะใดในสี่ระยะใช้เวลา การบันทึกนั้นเองทำให้การเปลี่ยนแปลงครั้งต่อไปเป็นการวัดแทนการเดา

ความวุ่นวายของการสลับกลับและเส้นทางบริหาร

การคืนตัวหลักเป็นการตัดสินใจแยกต่างหาก การสลับกลับอย่างรุนแรงอาจขัดจังหวะงานที่กู้คืนบนแบ็กอัปแล้ว และเส้นทางที่สั่นไหวอาจดูเหมือนอุโมงค์ที่ไม่เสถียรเมื่อข้อบกพร่องจริงคือเส้นทางที่แกว่งไปมาระหว่างสองตัวเลือกที่เท่ากัน

เส้นทางสองเส้นที่มีต้นทุนเท่ากันโดยไม่มีการตั้งค่าเริ่มต้นคือแหล่งที่มาปกติของการสั่นไหวที่มองเห็นได้ เพราะตัวเฝ้าแต่ละตัวตอบสนองต่อการเลือกของอีกตัว ตัดสินว่าเส้นทางใดเป็นที่ต้องการในสภาวะปกติ และทำให้การตั้งค่านั้นชัดเจนในการกำหนดค่าแทนที่จะปล่อยให้เป็นไปตามลำดับเส้นทาง กำหนดพฤติกรรมการสลับกลับที่ต้องการและใครเป็นเจ้าของล่วงหน้า เก็บการตั้งค่าเดิมและเส้นทางบริหารที่เป็นอิสระไว้ เพราะการเปลี่ยนแปลงที่ตัดการเข้าถึงของคุณเองระหว่างการหยุดชะงักจะเปลี่ยนเหตุการณ์เครือข่ายให้กลายเป็นการไปที่หน้างาน

จากนั้นทำภาระงานเดิมซ้ำและเปรียบเทียบตราเวลาสี่จุดเดิม การกู้คืนที่สั้นลงแต่ยังปล่อยให้แอปพลิเคชันรอเส้นทางที่ขาดหายหรือการเข้าสู่ระบบเดิมอยู่ไม่ใช่ความก้าวหน้า แต่เป็นตัวเลขอีกตัวบนกราฟเดิม