Paano bumuo ng patakaran sa VPN failover sa router nang walang pagtagas
Magpasya kung ano ang gagawin ng trapiko kapag bumagsak ang ginustong tunel: backup na tunel, ordinaryong WAN o harang. Pagkatapos ay itayo at subukan ito sa router.
Gumana ang failover nang eksakto sa pagkaka-configure, at iyon ang problema. Nang bumagsak ang pangunahing tunel, inilipat ng router ang default na ruta sa cable modem, nagpatuloy sa pag-browse ang mga laptop, at walang tumawag. Makalipas ang dalawang araw may nakapansin na ang share ng pananalapi ay naabot sa pamamagitan ng bukas na landas ng internet sa loob ng anim na oras. Ang patakaran sa VPN failover sa router ay hindi isang dayaan sa pagruruta; ito ay desisyon kung ano ang gagawin ng trapiko kapag nawala ang ginustong landas, at ang desisyong iyon ay dapat umiiral bago pa mawala ang landas.
Magpasya sa resulta bago pumili ng detektor
Karaniwang may tatlong resulta sa mesa: ipadala ang mga apektadong kliyente sa backup na tunel, hayaan silang gumamit ng ordinaryong WAN, o harangin sila nang tuluyan. Isulat kung alin ang naaangkop sa aling VLAN, SSID o klase ng aparato. Isang payak na tuntuning «lumipat sa WAN» ang dahilan kung bakit napunta sa pampublikong landas ang share ng pananalapi sa itaas.
Ang tatlo ay hindi mapagpapalit. Ang pagbabalik sa WAN ay nagpapanatili sa support desk na sumasagot sa telepono ngunit inilalantad ang mga panloob na pangalan sa lokal na resolver. Ang backup na tunel ay nagpapanatili ng patakaran ngunit maaaring mapunta sa isang exit address na hindi tinatanggap ng kabilang dulo. Ang pagharang ay tama para sa payroll VLAN at mali para sa guest network na hindi kailanman gumamit ng tunel.
| Outcome | Right for | What breaks |
|---|---|---|
| Backup tunnel | Policy must hold, remote access required | New exit address, return route, slower rekey |
| Plain WAN | Guest or public-only traffic | Internal names, DNS and IPv6 exposure |
| Block | Payroll, admin, anything VPN-only | Users lose all access and call you |
Itugma ang detektor sa kabiguang talagang kinatatakutan mo
Ang estado ng handshake, estado ng interface at magagamit na forwarding ay tatlong magkaibang senyales, at ang huli lamang ang mahalaga sa gumagamit. Ang WireGuard peer ay maaaring magpakita ng sariwang handshake habang itinatapon ng upstream ng provider ang mga packet. Ang kliyenteng OpenVPN ay maaaring manatili sa «konektado» pagkatapos tumigil sa pag-resolve ang rutang itinulak nito.
Sa pfSense, ang praktikal na kaayusan ay isang gateway group na pinapakain ng dpinger, na sumusuri sa isang monitor address at nagmamarka ng gateway na down kapag lumampas ang pagkawala o latency sa mga threshold nito. Itutok ang monitor na iyon sa isang bagay na lagpas sa tunel, tulad ng host sa malayong LAN o pampublikong address na naaabot mo sa pamamagitan nito. Ang pagtutok nito sa sariling peer address ng tunel ay sumusukat sa bahaging alam mo nang buhay.
Itayo ang grupo upang manatiling huling opsyon ang backup
Gumamit ng mga tier sa halip na isang payak na listahan ng miyembro. Pangunahin sa tier 1, backup na tunel sa tier 2, WAN sa tier 3 para lamang sa mga VLAN na pinapayagan ng patakaran. Sa pfSense ito ay nasa ilalim ng System > Routing > Gateway Groups: idagdag ang dalawang gateway, bigyan sila ng magkaibang tier, itakda ang Trigger Level sa member down kasama ang packet loss, i-save, pagkatapos ay gamitin ang grupo bilang default ng interface o sa field na Gateway ng mga firewall rule na nangangailangan nito.
Para sa isang instance ng OpenVPN client sa pfSense 2.5 at mas bago, ang setting na Default Gateway ng instance ang nagpapasya kung papalitan ng tunel ang default na ruta ng sistema. Ang policy routing ay kumikilos ayon sa inaasahan mo lamang kapag ang rutang inaakala mong umiiral ay talagang naka-install. Pagkatapos ng pagbabago, tingnan ang Status > Gateways sa halip na magtiwala sa icon ng estado ng tunel.
Dalawang setting ang sanhi ng karamihan ng pag-flap. Isa ay ang interval ng pagsusuri na mas maikli kaysa sa sariling reconvergence ng provider. Ang isa pa ay grupo kung saan pinagsasaluhan ng pangunahin at backup ang isang tier, kaya pareho silang nananatiling kwalipikado sa lahat ng oras. Magdagdag ng hysteresis sa pamamagitan ng mga threshold ng pagkawala at latency bago maramdaman ng mga gumagamit ang mga paglipat para sa iyo.
Isara ang mga landas na hindi kailanman pag-aari ng tunel
Una ang mga pagtagas ng DNS. Patuloy na sumasagot ang resolver sa WAN at nagpapasa palabas doon, kaya patuloy na nagre-resolve ang mga pangalan sa pamamagitan ng ISP habang nakapirmi ang trapiko sa tunel. Limitahan ang mga outbound interface ng resolver, itulak ang panloob na resolver sa mga kliyente, at harangin ang port 53 para sa lahat ng iba pa sa mga VLAN na VPN lamang.
Kailangan ng IPv6 ng sariling desisyon. Ang dual-stack na LAN ay maaaring mawalan ng tunel at mapanatili ang gumaganang global na default na ruta ng IPv6, kaya mas gusto ng mga browser ang IPv6 at lumalabas sa WAN habang ang IPv4 ay mukhang ganap na nakakulong. Alinman sa iruta ang IPv6 papasok sa tunel o itigil ang pag-anunsyo ng global prefix habang down ang tunel. Ang kalahating patakaran ay mas masama kaysa wala, dahil mukha itong gumagana.
Pagkatapos ang pabalik na landas. Kung ang backup na exit ay gumagamit ng ibang source address, dapat malaman ng kabilang dulo kung paano ibabalik ang trapiko doon, at bawat estado na nakakabit sa lumang address ay patay na. Ang mga session na binuksan nang bumagsak ang pangunahin ay hindi lumilipat; tumitigil sila hanggang mag-time out at magpasya ang application kung ano ang gagawin.
Subukan ang pagbagsak, pag-flap at ang daan pabalik
Hilahin ang pangunahin habang may hindi mapanganib na trapikong tumatakbo, pagkatapos ay basahin ang apat na bagay: Status > Gateways para sa mga estado ng miyembro ng grupo, pfctl -ss para sa mga estadong nakakabit pa rin sa lumang gateway, isang traceroute mula sa kliyente para sa exit path, at isang query sa resolver upang makita kung aling server ang sumagot.
Ngayon, i-flap ito. Itaas ang pangunahin nang tatlumpung segundo, ibaba nang tatlumpu, dalawang beses. Kung hinahabol ng trapiko ang bawat paglipat, masyadong masikip ang mga threshold o mali ang mga tier. Ayusin ito sa sarili mong iskedyul, dahil kung hindi, gagawin ito ng provider sa kanila.
Sa huli, tiyakin na kaya mo pa ring pangasiwaan ang router. Panatilihin ang landas sa labas ng banda tulad ng console cable, management VLAN o cellular modem. Ang failover test na nagkulong sa iyo sa labas ay test na hindi mo matatapos, at ang router na hindi maabot ay hindi makakabalik nang mag-isa.
Bago mo sabihing tapos na ang patakaran, dapat mong masagot ang apat na tanong nang hindi binubuksan ang terminal: aling mga VLAN ang maaaring gumamit ng WAN habang down ang tunel, ano ang binabantayan ng detektor at gaano katagal itong naghihintay, aling mga name server at ruta ng IPv6 ang gumagalaw kasama ng landas, at paano ka makakabalik kung mabigo rin ang backup. Kung ang alinmang sagot ay «kung ano man ang default», pag-aari pa rin ng router ang patakaran, hindi ikaw.