Dalawang gateway ng IPsec na walang shared IP: ano talaga ang ginagawa ng failover

Patayin ang gateway A sa gitna ng pulong at panoorin ang tunnel na bumalik sa B makalipas ang isang minuto; gumagana ang koneksyon, ang video call ay maaaring hindi. Ito ang tapat na anyo ng cold failover sa pagitan ng dalawang gateway ng IPsec na may independiyenteng address. Pinipili muli ng client ang isang endpoint at bumubuo ng bagong relasyon, na nagbabalik ng pag-abot nang hindi inililipat ang cryptographic na estado ng lumang session. Ang pagsunod sa pagkakasunod-sunod ay nagpapalinaw kung aling mga pangako ang kayang tuparin ng disenyo.

Ihanda ang eksena: dalawang address, walang lumulutang na IP

Sumasagot ang gateway A sa isang naaabot na address at ang gateway B sa isa pa. May aprubadong paraan ang client upang piliin ang B kapag wala na ang A, at walang shared na panlabas na address na parehong inaangkin ng dalawang gateway. Sa disenyong ito, ang virtual IP ay tumutukoy sa shared na pasukan na iyon, hindi ang panloob na address na ibinibigay sa isang client ng malayuang access.

Mahalaga ang kahulugang iyon dahil naghahalo ang dalawang ideya sa mga ticket, at ang pag-aayos ng isa ay hindi ang pag-aayos ng isa. Ang ulat na hindi sinundan ng shared na pasukan ang gateway ay naglalarawan ng isang disenyo. Ang ulat na nawala ng laptop ang panloob nitong address ay naglalarawan ng lease ng client. Magkaibang may-ari, magkaibang log, magkaibang pag-aayos.

Lakbayin ang pagkabigo: tuklasin, pagkatapos ay pumili muli

Una, may napapansin na tumigil ang A sa pagsagot. Maaaring ito ay pagtuklas ng patay na peer sa antas ng tunnel, isang routing protocol na nag-aalis ng landas, o isang timeout ng application na sa wakas ay nagpipilit ng muling pagkonekta. Bawat isa ay may ibang sukat ng oras, at ang pinakamabagal ang karaniwang nagtatakda kung gaano katagal maghintay ang mga gumagamit.

Pagkatapos, pinipili ng client ang B sa pamamagitan ng anumang mekanismong sinusuportahan ng deployment: isang pangalawang naka-configure na remote, isang pangalan ng DNS na niresolba sa malusog na address, o routing na ngayon ay mas gusto ang ibang landas. Ang pagpili ay isang hakbang ng patakaran, at dapat itong umiral bago ang pagkabigo o mangyayari ito nang hindi sinasadya.

Ano ang maaari at hindi maaaring manahin ng B

Maaaring ibahagi ng B sa A ang isang template ng configuration, isang awtoridad ng sertipiko at isang patakaran ng authentication. Hindi nito maaaring manahin ang mga buhay na asosasyon ng seguridad. Ang mga susi ng session, mga index ng parameter ng seguridad at estado ng pagkakasunod-sunod ay pag-aari ng relasyong itinatag ng A at ng client, at wala ang B ng kahit isa sa mga ito.

Ang paglipat ng estadong iyon sa pagitan ng mga gateway ay isang tunay na problemang pang-inhenyeriya, kaya tinatrato ito ng dokumentasyon ng strongSwan para sa mataas na availability bilang isang disenyo ng cluster at hindi bilang flag ng configuration. Ang isang partikular na recipe ng cluster ay hindi pangkalahatang sagot para sa isang cloud network, at ang pagkopya nito nang walang sumusuportang imprastraktura ay bumibili ng komplikasyon sa halip na pagpapatuloy.

Pagtatatag ng bagong relasyon

Sa napiling B, nagsasagawa ang client ng bagong palitan ng IKE: mga bagong halaga ng nonce, mga bagong halaga ng Diffie-Hellman, mga bagong identifier para sa mga resultang asosasyon. Nagaganap muli ang authentication sa B. Kung ang disenyo ay umaasa sa mga kredensyal ng makina, ang muling pagkonekta ay maaaring walang pagmamasid; kung nangangailangan ito ng salik ng tao, may dapat na naroroon upang makumpleto ang failover.

Tukuyin ang karanasang iyon ng gumagamit bago ang pagkaantala, hindi habang nangyayari. Sabihin nang malinaw kung ano ang gagawin ng client, gaano katagal itong susubok at ano ang ipapakita kapag sumuko na ito, dahil ang pagkakaiba ng isang minutong muling pagkonekta at isang tawag sa suporta ay karaniwang dokumentasyon at isang nasubok na profile.

Ang pagpapanatili ng parehong panloob na address ay tumutulong sa mga application na umaasa sa matatag na lokal na pagkakakilanlan, at hindi nito pinapanatili ang kanilang mga session. Nag-eexpire ang mga binding ng NAT, nireset ang mga koneksyon ng TCP, at ang anumang bagay na may sariling timeout ay nagpapasya nang mag-isa kung susubukan muli.

Dalawang tunnel nang magkatulad ay ibang disenyo

Ang pagpapatakbo ng dalawang tunnel nang sabay ay isang wastong pattern kapag sinusuportahan ito ng dalawang gateway at ng disenyo ng routing. Pinipili ng pagpili ng ruta ang aktibong landas, at dapat magkasundo ang pabalik na landas, o lumalabas ang trapiko sa isang gateway at bumabalik sa isa pa nang walang estadong magtutugma nito.

Ang magkakapatong na patakaran ng tunnel ay hindi mag-isa na lumilikha ng maayos na failover. Lumilikha sila ng dalawang kandidato, at may dapat magpasya sa pagitan nila nang deterministiko, maging ito ay sukatan ng routing, priyoridad ng patakaran o tahasang kagustuhan sa client.

Anuman ang anyo na piliin mo, isulat ang kontrata: paano natutuklasan ang pagkabigo, paano pinipili ang alternatibo, anong authentication ang kailangan nito at gaano katagal inaasahang tatagal ang muling pagkonekta. Ang shared IP ay makapagpapasimple ng pagtuklas, ngunit hindi ito kasingkahulugan ng tuloy-tuloy na estado, at ang availability ay isang disenyo pa rin.