Pangalawang VPN endpoint: ano ang saklaw nito at ano ang hindi

Dalawang endpoint sa papel ay mukhang redundansya. Sa praktika, ang pangalawang address ay tumutulong lamang kapag naaabot ito ng mga kliyente at kapag iniiwasan nito ang pagkabigong inihahanda mo. Dalawang server sa likod ng parehong koneksyon sa access, parehong account o parehong target na network ay sabay na bumabagsak. Ang kapaki-pakinabang na tanong ay kung aling nag-iisang pagkabigo ang inaalis ng pangalawang endpoint.

Ihambing kung ano ang ibinabahagi ng dalawang endpoint

Ilista kung ano ang karaniwan sa dalawang endpoint bago bilangin kung ano ang dinoble nila. Ang lokasyon ng hosting, account ng provider, upstream transit, hosting ng DNS, pinagmulan ng pagkakakilanlan at pribadong resource sa likod ng tunnel ay bawat isa ay kumakatawan sa ibinahagi o malayang dependency. Dalawang virtual machine sa isang rehiyon ay nagbabahagi ng outage ng provider. Dalawang rehiyon sa ilalim ng isang account ay nagbabahagi pa rin ng relasyon sa pagsingil at ng control plane na lumilikha sa kanila.

Ang target na network ay karapat-dapat sa parehong pagtrato. Ang malusog na backup gateway ay hindi maibabalik ang isang NAS na offline, at hindi maaabot ang isang network ng opisina na bumagsak ang uplink. Kung ang dalawang endpoint ay nagtatapos sa parehong pribadong subnet, ang pangalawa ay nagdaragdag lamang ng landas patungo sa isang destinasyon na siyang nag-iisang punto ng pagkabigo.

Ang pagkakakilanlan ang dependency na nakakalimutan ng mga tao. Ang pag-clone ng certificate at configuration sa pangalawang host ay lumilikha ng dalawang lugar kung saan makokopya ang parehong kredensyal, at wala itong sinasabi tungkol sa kung paano naaabot ng mga revocation ang dalawa.

Magpasya kung paano lumilipat ang isang kliyente

Ang pangalawang endpoint ay kapaki-pakinabang lamang kung alam ito ng kliyente at mapipili ito nang walang tawag sa suporta. Ang mga profile ng koneksyon ng OpenVPN ay maaaring magdala ng ilang linyang remote na may patakaran sa pagpili, at karamihan sa mga kliyente ay nag-aalok ng alternatibong profile sa isang menu. Anuman ang mekanismo, isulat kung alin ang mayroon ang iyong mga user, dahil ang profile na hindi nila mahanap ay hindi failover.

Basahin ang dokumentasyon ng kliyente tungkol sa mga pagbabago ng address sa panahon ng session. Ang ilang implementasyon ay pinapanatili ang orihinal na peer sa buong buhay ng tunnel at tumitingin sa mga alternatibo lamang kapag muling kumokonekta. Ang pagkakaibang iyon ang nagpapasya kung ang isang patay na endpoint ay gumagawa ng maikling pagkaantala o isang session na hindi na bumangon. Subukan ang landas ng muling pagkonekta sa halip na ipagpalagay na nangyayari ito.

Ang binagong exit address ay sumisira rin sa estado ng aplikasyon. Ang failover ay pagbangon, at ang paglalarawan dito bilang walang patid na pagpapatuloy ay lumilikha ng inaasahan na hindi matutugunan ng transport.

Subukan ang isang tunay na pagkabigo

Pumili ng isang kontroladong pagkaantala at isagawa ito mula simula hanggang wakas, sa halip na magtiwala sa dokumento ng disenyo. Itigil ang pangunahing endpoint, pagkatapos ay kumpirmahin na ang isang awtorisadong kliyente ay umaabot sa nilalayong aplikasyon sa pamamagitan ng alternatibo habang ang mga hindi awtorisadong kliyente ay hindi pa rin makakaabot. Itala kung gaano katagal ang paglilipat at ano ang nakita ng aplikasyon.

dig +short vpn2.example.net
ip route get 10.20.30.41
journalctl -u openvpn@backup --since '-10 min'

Kinukumpirma ng unang utos na ang backup na pangalan ay nireresolba sa isang bagay na naruruta bago mo ito kailanganin, at ito ang pinakamurang pagsubok dito. Ipinapakita ng pangalawa kung aling interface ang gagamitin ng kernel para sa pribadong destinasyon kapag nakataas ang alternatibo. Ibinibigay ng pangatlo ang log ng kliyente na nagpapangalan sa peer na aktwal na kinonektahan, at iyon ang tanging patunay na nangyari ang paglilipat. Panoorin din ang gawi ng pagharang sa pagitan, dahil ang patakarang naglalabas ng trapiko habang naglilipat ay mas masama kaysa sa maikling pagkaantala.

Pagkatapos ay ibalik ang orihinal at kumpirmahin kung bumabalik ang kliyente. Ang pagbabalik na nangyayari nang hindi sinasadya ay gawi na walang nagplano.

Isulat kung ano ang ibinibigay ng pangalawang address

Isa-isahin ang saklaw sa isang talata: aling pagkabigo ang inaalis ng pangalawang endpoint, aling mga pagkabigo ang ibinabahagi nito sa una, at anong mga palagay ang nakasalalay sa paglilipat. Pangalanan ang mekanismo sa panig ng kliyente gayundin ang mga pribadong ruta at gawi ng DNS na dapat umiral sa parehong lugar. Ang pampublikong labasan sa internet ay hindi kapalit ng pribadong gateway, at ang dokumentong nagtrato sa kanila bilang mapagpapalit ay paniniwalaan. Idagdag ang pagsubok ng pagbangon na isinagawa mo, kasama ang petsa at resulta.

Ang kalayaan mula sa isang server ay hindi kalayaan mula sa ibinahaging account o sa target na network. Ang talatang nagsasabi nito nang malakas ang pumipigil sa pangalawang address na maibenta sa loob bilang mataas na availability. Sinasabi rin nito sa susunod na operator kung ano ang unang titingnan kapag sabay na bumagsak ang pares.