Nabibigo ang pangalawang WAN VPN entry habang gumagana pa rin ang pangunahin

Nananatiling bukas ang pangunahing tunel, nagpapatuloy ang mga user sa pagtatrabaho, at walang ginagawa ang pangalawang ISP circuit ano man ang baguhin mo. Naglathala ka ng address para sa backup circuit, itinuro mo ang isang pangalan doon, marahil nagdagdag ka ng backup entry sa kliyente, at ang kliyente ay hindi kailanman sinusubukan ito o nagpapatotoo at pagkatapos ay namamatay. Sa mga kasong sinusubaybayan ko, karaniwang maayos ang feature ng failover; ang kulang ay isa sa limang bagay na nagpapagamit ng isang entry. Maaaring mag-resolve ang isang pangalan sa backup address habang walang nakikinig sa interface na iyon, at ang tagapakinig ay maaaring tumanggap ng koneksyon habang lumalabas ang tugon sa pangunahin. Ituring ang bawat WAN na hiwalay na entry na may sariling kontrata at hihinto ang pagkabigo sa pagmumukhang bug ng kliyente.

Bawat WAN ay nangangailangan ng sariling kontrata ng entry

Itala ang limang field bawat WAN: ang pampublikong pangalan at address, ang transport at port, ang interface o kontekstong nagtatapos dito, ang pagkakakilanlan ng peer na dapat nitong ipakita, at kung saan lumalabas ang tugon. Dalawang circuit ay nangangahulugang dalawang kumpletong set. Kung ang pangalawang set ay walang nagtatapos na interface o walang daan pabalik, wala kang backup entry; mayroon kang DNS record na naglalarawan ng intensyon.

Kailangan din ng appliance at ng release nito na suportahan ang kaayusang ito. Hindi mabubuksan ng DNS record ang isang serbisyo sa ibang interface, at sa maraming platform ang tagapakinig ay kino-configure ayon sa address at hindi ayon sa device. Ang interface-based na IPsec sa isang ASA ay nagbibigkis ng crypto map at tunnel group sa panlabas na interface, kaya ang pangalawang uplink ay nangangailangan ng patakaran doon kung saan talaga dumarating ang mga packet. Magkaiba ang kilos ng mga disenyong nakabatay sa ruta: ang tagapakinig ay maaaring magbigkis sa bawat address o sa isang pinangalanang address, at ang pagpipiliang iyon ang nagpapasya kung makakatugon man lang ang ISP B.

Tiyakin na talagang tumutugon ang pangalawang WAN

Subukan mula sa labas ng parehong circuit, hindi mula sa makina sa likod ng gateway, at subukan ang eksaktong pangalan na ginagamit ng profile ng kliyente. Para sa isang TLS listener, ang mabilisang pagsusuri ay openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts na pinapatakbo mula sa host sa labas ng iyong network. Gusto mo ng kumpletong handshake na tumutugma ang chain sa pangalan sa profile, hindi lamang isang TCP port na tumatanggap ng koneksyon.

RFC 9525 ang nagpapaliwanag kung ano ang sinusuri ng kliyente: ang pagkakakilanlang nilalayon nitong maabot, ihinahambing sa sertipikong ipinapakita ng serbisyo. Ang pangalawang entry na nagbabalik ng sertipiko ng pangunahing entry, o default na sertipikong walang nakalista sa alinman sa mga pangalan, ay bumagsak sa pagsubok na ito kahit bukas ang port at pinapayagan ito ng firewall.

Dalawang pattern ang nagpapaliwanag sa karamihan ng pagkabigo dito. Ang koneksyong nakabitin ay karaniwang ibig sabihin na walang tagapakinig sa interface na iyon, isang access rule na pinapayagan lamang ang pangunahing subnet, o isang kagamitan ng carrier sa harap ng pangalawang circuit na nagtatapon ng port. Ang handshake na nagtatapos sa maling pagkakakilanlan ay karaniwang ibig sabihin ng ibang trustpoint, default na virtual host, o configuration na kinopya mula sa pangunahin nang hindi inaayos ang pagkakakilanlan.

Sundan ang tugon, hindi lamang ang kahilingan

Karaniwang nasisira ang pangalawang WAN sa daan pabalik. Dumarating ang kahilingan sa ISP B, tumutugon ang appliance, at lumalabas ang tugon sa default na ruta sa ISP A na may source address na hindi kailanman hiningi ng kliyente. Mas pinapalala ito ng stateful na pagsasalin: kung ang mapping ay itinayo para sa pangunahing interface, nalalampasan ng pabalik na packet ang pagsasalin o may dalang source na itinatapon ng firewall ng kliyente. Itinatapon din ng mga provider ang mga source address na hindi kabilang sa circuit na ibinigay sa iyo, kaya't ito ay mukhang isang-direksyong black hole sa halip na malinis na protocol error.

Suriin ang desisyon sa pagruruta para sa trapikong nagmumula sa pangalawang entry. Dapat lumabas ang tugon sa interface kung saan dumating ang kahilingan, o hindi bababa sa may dalang address na tinatanggap ng kabilang dulo bilang kabilang sa daang iyon. Sa mga platform na may policy routing, ibig sabihin nito ay isang rule na naka-key sa papasok na interface o sa naisaling source, kasama ang isang pahayag ng pagsasalin na nakatali sa bawat panlabas na interface. Kunan ng capture ang dalawang interface nang sabay habang kumokonekta ang kliyente; ang SYN na pumapasok sa ISP B at ang SYN-ACK na lumalabas sa ISP A ay nagtatapos sa tanong sa isang takbo.

Bigyan ang kliyente ng paraan para malaman ang ikalawang entry

Ang failover ay desisyon sa panig ng kliyente, at iba-iba ang pagkatuto ng bawat pamilya ng kliyente tungkol sa mga alternatibo. Sa isang ASA, ang listahan ng backup server ay ipinapadala sa pamamagitan ng webvpn attributes ng group policy, habang ang ibang kliyente ay umaasa ng listahan sa loob ng profile o ng manu-manong ikalawang profile na pipiliin ng user. Inilalarawan ng gabay ng Cisco sa connection policy ang parehong backup na impormasyong kino-configure ng kliyente at ibinibigay ng gateway, at ang mga detalyeng iyon na partikular sa protocol ay hindi dapat i-generalize sa bawat kliyente o tunnel mode. Tiyakin kung aling mekanismo ang ipinatutupad ng naka-deploy na kliyente bago itayo ang ikalawang entry sa paligid ng mali.

Anuman ang mekanismo, kailangang ma-resolve ng kliyente ang alternatibong pangalan bago mawala ang pangunahing daan. Iyon ang dependency na nakakalimutan ng mga tao: kung ang backup na pangalan ay sinasagot ng resolver na maaabot lamang sa pamamagitan ng tunel na karara lang bumagsak, hindi man lang makakapagsimula ang fallback. Ilathala ang ikalawang pangalan sa resolver na tumutugon nang lokal o sa internet. Asahan ang bagong authentication at bagong session ng application pagkatapos ng paglipat, dahil ang failover ng kliyente ay hindi stateful failover at hindi ito nalalampasan ng matagal na session.

Isang address sa dalawang provider ay ibang produkto

Ang pagpapanatiling maaabot ang isang pampublikong address sa parehong circuit ay serbisyo ng pagruruta, hindi checkbox sa VPN. Nangangailangan ito ng address space na handang dalhin ng parehong provider, inanunsyo sa paraang tinatanggap ng kanilang mga network, at iyon ang ibinibigay ng multihoming na may space na independent sa provider at BGP. Ang pagtatalaga ng address ng ISP A sa interface ng ISP B ay hindi ka nagdadala doon; dumarating ang packet sa network na hindi kailanman nag-anunsyo ng prefix at itinatapon ito sa upstream.

Wala kang kailangan sa mga ito para maglathala ng dalawang entry. Kung kayang hawakan ng kliyente ang dalawang pangalan at mag-fail sa pagitan ng mga ito, sapat na ang dalawang independiyenteng entry, at iniiwasan mo ang AS number, kasunduan sa peering, at prefix na dapat tanggapin sa lahat ng dako. Isaalang-alang ang opsyon ng portable address lamang kapag talagang kailangan mo ng isang matatag na entry point na hindi maaaring palitan ng mga kliyente sa pamamagitan ng muling pagkumpigura, o kapag ang failover na nakabatay sa DNS kasama ang TTL delay nito ay masyadong mabagal para sa outage na dinisenyo mo.

Ano ang susunod na susuriin

Magtrabaho pa labas mula sa bumabagsak na entry sa ganitong pagkakasunod-sunod: tumutugon ba ang pangalawang address mula sa labas, ipinapakita ba nito ang pagkakakilanlang inaasahan ng kliyente, lumalabas ba ang tugon sa daang pinasok ng kahilingan, at natututuhan ba ng kliyente ang pangalan bago ito kailanganin. Kung saan ang sagot ay hindi, ayusin ang layer na iyon at muling subukan gamit ang naka-deploy na profile at hindi test host, dahil ang handshake mula sa lab ay nagpapatunay ng mas kaunti kaysa sa kumpletong koneksyon mula sa tunay na kliyente.

Magtago ng maikling talaan bawat WAN, na may address, port, nagtatapos na interface, pangalan ng sertipiko, daan pabalik at tuntunin ng pagsasalin, at muling suriin ito tuwing magbabago ang isang circuit, isang NAT device o isang bersyon ng kliyente. Ang mga hindi ginagamit na backup path ay tahimik na nabubulok: walang nag-aalerto tungkol sa entry na walang gumagamit hanggang sa araw na umaasa ang lahat dito.