OpenVPN เฟลโอเวอร์สามแบบบน pfSense พร้อมกลไกสามอย่าง

„OpenVPN failover“ บน pfSense ครอบคลุมการออกแบบที่ไม่เกี่ยวข้องกันอย่างน้อยสามแบบ แต่ละแบบต้องใช้กลไกต่างกัน การทำให้อุโมงค์คงอยู่ข้ามลิงก์อินเทอร์เน็ตสำรอง การเชื่อมต่อใหม่กับเซิร์ฟเวอร์อื่น และการพาทราฟฟิก LAN เข้าไปในอุโมงค์อื่นที่ตั้งไว้แล้ว ไม่ใช่รูปแบบของฟีเจอร์เดียว เลือกความล้มเหลวที่คุณกำลังป้องกันอยู่ก่อนสร้างกลุ่มเกตเวย์ กลุ่มที่แก้อย่างหนึ่งจะไม่ช่วยอีกสองอย่างเลย

ตั้งชื่อความล้มเหลวก่อนสร้างกลุ่ม

เขียนประโยคที่คุณอยากให้เป็นจริงระหว่างเกิดเหตุขัดข้อง „อุโมงค์เชื่อมต่อใหม่ผ่าน WAN สำรอง“ กับ „สาขายังเข้าถึงแอปพลิเคชันผ่านอุโมงค์อีกเส้น“ เป็นประโยคที่ต่างกัน มีเพียงประโยคแรกที่พูดถึงการขนส่ง

จากนั้นจับคู่กับกลไก การสูญเสีย WAN ภายในเป็นปัญหาการเลือกอินเทอร์เฟซ ปลายทางระยะไกลที่ตายแล้วเป็นปัญหาของรายการเชื่อมต่อ และเส้นทางที่ใช้ไม่ได้ภายในอุโมงค์ที่ตั้งไว้แล้วเป็นปัญหาการกำหนดเส้นทางและนโยบาย

WAN ภายใน: ย้ายการขนส่ง

สำหรับไคลเอนต์ OpenVPN บน pfSense การจัดวางหลาย WAN ที่รองรับจะเลือกกลุ่มเกตเวย์ที่เหมาะสมเป็นอินเทอร์เฟซที่ไคลเอนต์ผูกอยู่ นี่คือสิ่งที่ทำให้การเชื่อมต่อภายนอกออกไปทางลิงก์สำรองได้เมื่อลิงก์หลักล้ม โดยตัวมันเองไม่ได้เปลี่ยนวิธีกำหนดเส้นทางให้ทราฟฟิกภายใน

ฝั่งเซิร์ฟเวอร์ของการออกแบบเดียวกันแยกต่างหาก เซิร์ฟเวอร์ OpenVPN ที่ต้องเข้าถึงได้ผ่านที่อยู่สาธารณะหลายรายการต้องมีตัวรับฟังและนโยบายขาเข้าสำหรับแต่ละรายการเหล่านั้น ไม่ใช่แค่ไคลเอนต์ที่ต่อสายออกได้สองลิงก์ รายการสาธารณะที่ใช้งานได้หนึ่งรายการไม่ใช่หลักฐานว่ารายการที่สองถูกกำหนดค่าแล้ว

กฎการกำหนดเส้นทางตามนโยบายสำหรับแพ็กเก็ต LAN ที่ส่งต่อไปไม่ใช่การตั้งค่าที่ย้ายการเชื่อมต่อขนส่ง VPN ที่สร้างขึ้นในเครื่อง สองอย่างนี้เป็นการค้นหาคนละแบบ และการเปลี่ยนอย่างหนึ่งไม่เปลี่ยนอีกอย่าง

ปลายทางระยะไกล: เซิร์ฟเวอร์อื่น

remote ทางเลือกเป็นฟีเจอร์ของรายการเชื่อมต่อ ไคลเอนต์จะลองรายการถัดไปเมื่อรายการปัจจุบันไม่ตอบ ซึ่งมีประโยชน์เมื่อโฮสต์ใดโฮสต์หนึ่งล่ม ไม่ใช่เมื่ออัปลิงก์ของคุณเองล่ม ความล้มเหลวทั้งสองดูคล้ายกันจากโต๊ะผู้ใช้และต้องแก้ต่างกัน

ผู้สมัครแต่ละรายต้องเป็นตัวแทนจริง: การยืนยันตัวตนที่เข้ากันได้ นโยบายไคลเอนต์ที่เข้ากันได้ และการเข้าถึงทรัพยากรส่วนตัวชุดเดียวกัน ชื่อโฮสต์ที่สองที่แปลงไปยังโครงสร้างพื้นฐานที่เสียชุดเดียวกันไม่ใช่ตัวสำรอง เซิร์ฟเวอร์ที่ไม่มีเส้นทางที่จำเป็นก็ไม่ใช่เช่นกัน ไม่ว่าแฮนด์เชกจะดูแข็งแรงเพียงใด

กลไกนี้ไม่ได้ทำให้สองอุโมงค์ส่งต่อพร้อมกัน มันแทนที่การเชื่อมต่อหนึ่งด้วยอีกอันตามลำดับ และช่องว่างระหว่างสองอันนั้นมองเห็นได้โดยทุกอย่างที่กำลังทำงานอยู่

เส้นทางของอุโมงค์: เลือกทางออกอื่น

เมื่อมีสองอุโมงค์ตั้งอยู่แล้วและทราฟฟิกควรใช้เส้นที่แข็งแรงกว่า กลไกคืออินเทอร์เฟซ VPN ที่กำหนดไว้พร้อมเกตเวย์ของตัวเอง บวกกฎนโยบายที่ชัดเจนซึ่งส่งทราฟฟิกที่ถูกต้องไปที่นั่น กลุ่มเกตเวย์บนอินเทอร์เฟซที่กำหนดไว้เหล่านั้นสามารถแสดงลำดับความสำคัญและการเฝ้าตรวจได้

การออกแบบนั้นพูดถึงการเลือก ไม่ใช่การกู้คืน การย้ายการเชื่อมต่อใหม่ไปยังอุโมงค์ที่สองไม่ได้บอกอะไรเกี่ยวกับเซสชันที่ตั้งไว้แล้วบนอุโมงค์แรก และไม่ได้บอกอะไรว่าอีกฝั่งจะยอมรับที่อยู่ต้นทางใหม่หรือไม่ การมองมันเป็นกลไกกู้คืนคือวิธีตั้งความคาดหวังไว้สูงเกินไป

ถ้าข้อกำหนดคือเซสชันที่มีอยู่ต้องอยู่รอด ให้พูดให้ชัดเจน การนำไปปฏิบัติส่วนใหญ่ไม่ย้ายโฟลว์ที่ยังมีชีวิตระหว่างอุโมงค์ และการออกแบบราวกับว่าทำได้จะให้เฟลโอเวอร์ที่ดูถูกต้องบนแผนภาพแต่ในทางปฏิบัติทำให้ทุกการเชื่อมต่อที่เปิดอยู่หลุด

มอนิเตอร์ NAT และกฎ fail-closed

มอนิเตอร์ควรทดสอบสิ่งที่อุโมงค์ควรส่งมอบ เป้าหมายที่ตอบจากคู่ของอุโมงค์แต่ไม่ตอบจากเครือข่ายแอปพลิเคชันที่อยู่ถัดออกไปจะรายงานว่าสุขภาพดีในขณะที่ผู้ใช้ไม่เห็นอะไรเลย เป้าหมายวินิจฉัยที่เข้าถึงไม่ได้จะรายงานว่าตายในขณะที่เส้นทางยังดี ให้เลือกที่อยู่โดยตั้งใจและยืนยันว่าเข้าถึงได้เฉพาะผ่านอุโมงค์ที่ตั้งใจไว้เท่านั้น

ตรวจสอบ NAT ขาออกสำหรับทั้งสองทางออก การแปลที่ทำงานบนเส้นหลักไม่ได้อธิบายที่อยู่ต้นทางของตัวสำรอง และเครือข่ายส่วนตัวระยะไกลต้องการเส้นทางกลับที่ตรงกับต้นทางที่คุณนำเสนอ การแปลที่ถูกบนเส้นทางหนึ่งอาจผิดอย่างเงียบ ๆ บนอีกเส้นทางหนึ่ง

จากนั้นตัดสินว่าเกิดอะไรขึ้นกับทราฟฟิกที่ห้ามใช้ WAN เด็ดขาด pfSense มีพฤติกรรมที่กำหนดไว้สำหรับกฎที่เกตเวย์ที่เลือกไว้ล่ม และกฎอนุญาตแบบกว้างที่มาทีหลังหรือเส้นทางเริ่มต้นอาจทำให้เจตนาของคุณเป็นโมฆะ เขียนผลลัพธ์ที่ถูกบล็อกไว้เป็นข้อกำหนด แล้วตรวจสอบด้วยการปลดเส้นทางนั้นลง

ทดสอบการสูญเสียและการกู้คืนแยกกัน ด้วยทราฟฟิกที่คุณได้รับอนุญาตให้สร้าง และเฝ้าดูสามอย่างพร้อมกัน: WAN ที่พาการเชื่อมต่อภายนอก อุโมงค์ที่พาคำขอของแอปพลิเคชัน และเส้นทางที่คำตอบเลือกใช้ อินดิเคเตอร์เกตเวย์สีเขียวหนึ่งคู่ไม่ใช่หนึ่งในสามอย่างนั้น คู่มือหลาย WAN ของ Netgate อธิบายการผูกการขนส่งและทางเลือกไคลเอนต์ที่ส่งออกซึ่งสิ่งนี้อาศัยอยู่