İkinci WAN VPN girişi başarısız olurken birincil hâlâ çalışıyor

Birincil tünel açık kalır, kullanıcılar çalışmaya devam eder ve ne değiştirirseniz değiştirin ikinci ISP hattı boşta bekler. Yedek hat için bir adres yayımladınız, ona bir ad yönlendirdiniz, belki istemciye yedek bir giriş eklediniz ve istemci ya onu hiç denemez ya da kimlik doğrulaması yapıp sonra ölür. İzlediğim vakalarda yük devretme özelliği genellikle yerindeydi; eksik olan, bir girişi kullanılabilir kılan beş şeyden biriydi. Bir ad, o arayüzde hiçbir şey dinlemezken yedek adrese çözülebilir ve yanıt birincilden çıkarken dinleyici bir bağlantıyı kabul edebilir. Her WAN'ı kendi sözleşmesi olan ayrı bir giriş olarak ele alın, o zaman arıza istemci hatası gibi görünmeyi bırakır.

Her WAN'ın kendi giriş sözleşmesi olmalı

Her WAN için beş alan kaydedin: genel ad ve adres, taşıma ve bağlantı noktası, onu sonlandıran arayüz veya bağlam, sunması gereken eş kimliği ve yanıtın nereden çıktığı. İki hat, iki tam takım demektir. İkinci takımın sonlandıran bir arayüzü ya da dönüş yolu yoksa yedek bir girişiniz yoktur; niyeti tanımlayan bir DNS kaydınız vardır.

Cihaz ve sürümü de bu düzeni desteklemek zorundadır. Bir DNS kaydı başka bir arayüzde hizmet açamaz ve birçok platformda dinleyici cihaz başına değil adres başına yapılandırılır. ASA'da arayüz tabanlı IPsec, kripto haritalarını ve tünel gruplarını dış arayüze bağlar, bu nedenle ikinci bir uplink'in bu paketlerin gerçekten geldiği yerde politikaya ihtiyacı vardır. Rota tabanlı tasarımlar farklı davranır: dinleyici her adrese ya da tek bir adlandırılmış adrese bağlanabilir ve bu seçim ISP B'nin hiç yanıt verip veremeyeceğini belirler.

İkinci WAN'ın gerçekten yanıt verdiğini doğrulayın

Her iki hattın dışından test edin, ağ geçidinin arkasındaki bir makineden değil, ve istemci profilinin kullandığı tam adı test edin. Bir TLS dinleyicisi için hızlı kontrol openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts ağınızın dışındaki bir ana bilgisayardan çalıştırılan komuttur. Profildeki adla zinciri eşleşen tamamlanmış bir el sıkışma istersiniz, yalnızca bağlantıyı kabul eden bir TCP bağlantı noktası değil.

RFC 9525 istemcinin neyi denetlediğini açıklar: ulaşmayı amaçladığı kimlik, hizmetin sunduğu sertifikayla karşılaştırılır. Birincil girişin sertifikasını geri veren ikinci bir giriş ya da iki addan hiçbirini listelemediği varsayılan bir sertifika, bağlantı noktası açık ve güvenlik duvarı izin veriyor olsa bile bu testi geçemez.

Buradaki arızaların çoğunu iki örüntü açıklar. Asılı kalan bir bağlantı genellikle o arayüzde dinleyici olmadığı, erişim kuralının yalnızca birincil alt ağlara izin verdiği ya da ikinci hattın önündeki bir operatör cihazının bağlantı noktasını düşürdüğü anlamına gelir. Yanlış kimlikle biten bir el sıkışma genellikle farklı bir güven noktası, varsayılan bir sanal ana bilgisayar ya da kimlik ayarlanmadan birincilden kopyalanmış yapılandırma anlamına gelir.

Yanıtı izleyin, yalnızca isteği değil

İkinci WAN genellikle dönüş yolunda bozulur. İstek ISP B üzerinden gelir, cihaz yanıtlar ve yanıt ISP A'daki varsayılan rotadan, istemcinin hiç istemediği bir kaynak adresle çıkar. Durum bilgili çeviri durumu daha da kötüleştirir: eşleme birincil arayüz için kurulduysa dönen paket çeviriyi ıskalar ya da istemcinin güvenlik duvarının attığı bir kaynak taşır. Sağlayıcılar da size verdikleri hatta ait olmayan kaynak adresleri düşürür, bu yüzden bu, temiz bir protokol hatası yerine tek yönlü bir kara delik gibi görünür.

İkinci girişten kaynaklanan trafik için yönlendirme kararını denetleyin. Yanıt, isteğin geldiği arayüzden çıkmalı ya da en azından uzak tarafın o yola ait olarak kabul ettiği bir adres taşımalıdır. İlke yönlendirmesi olan platformlarda bu, gelen arayüze veya çevrilen kaynağa bağlı bir kural ve her dış arayüze bağlı bir çeviri ifadesi anlamına gelir. İstemci bağlanırken her iki arayüzde aynı anda yakalama yapın; ISP B'de gelen bir SYN ile ISP A'dan çıkan SYN-ACK soruyu tek seferde çözer.

İstemciye ikinci girişi öğrenme yolu verin

Yük devretme istemci tarafında bir karardır ve her istemci ailesi alternatifleri farklı öğrenir. Bir ASA'da yedek sunucu listesi grup ilkesinin webvpn öznitelikleriyle iletilir, diğer istemciler ise profil içinde bir liste ya da kullanıcının seçtiği el ile ikinci bir profil bekler. Cisco'nun bağlantı ilkesi kılavuzu hem istemcide yapılandırılan hem de ağ geçidi tarafından sağlanan yedek bilgileri açıklar ve bu protokole özgü ayrıntılar her istemciye ya da tünel moduna genellenmemelidir. İkinci girişi yanlış olanın etrafına kurmadan önce dağıtılmış istemcinin hangi mekanizmayı uyguladığını doğrulayın.

Mekanizma ne olursa olsun, istemci birincil yolu kaybetmeden önce alternatif adı çözebilmelidir. İnsanların atladığı bağımlılık budur: yedek ad, yeni başarısız olan tünel üzerinden erişilebilen bir çözümleyici tarafından yanıtlanıyorsa yedekleme başlayamaz bile. İkinci adı yerel olarak ya da internet üzerinden yanıt veren bir çözümleyicide yayımlayın. Geçişten sonra yeni bir kimlik doğrulama ve yeni bir uygulama oturumu bekleyin, çünkü istemci yük devretmesi durum bilgili yük devretme değildir ve uzun ömürlü oturumlar onu atlatamaz.

İki sağlayıcıda tek adres başka bir üründür

Tek bir genel adresi iki hattan da erişilebilir tutmak bir yönlendirme hizmetidir, VPN'de bir onay kutusu değil. Her iki sağlayıcının taşımaya istekli olduğu adres alanını, ağlarının kabul edeceği biçimde duyurmayı gerektirir ve bunu sağlayıcıdan bağımsız alan ile BGP'li çoklu bağlantı sağlar. ISP A'nın adresini ISP B'nin arayüzüne atamak sizi oraya götürmez; paket, öneki hiç duyurmamış bir ağa ulaşır ve yukarı akışta düşürülür.

İki giriş yayımlamak için bunların hiçbirine ihtiyacınız yok. İstemci iki adı tutabiliyor ve aralarında yük devredebiliyorsa iki bağımsız giriş yeterlidir; AS numarası, eşleme düzeni ve her yerde kabul edilmesi gereken bir önekten kurtulursunuz. Taşınabilir adres seçeneğini yalnızca istemcilerin yeniden yapılandırılarak değiştiremeyeceği tek ve kararlı bir giriş noktasına gerçekten ihtiyacınız varsa ya da TTL gecikmeli DNS tabanlı yük devretme, tasarladığınız kesinti için çok yavaşsa düşünün.

Bundan sonra ne denetlenmeli

Başarısız girişten dışa doğru şu sırayla çalışın: ikinci adres dışarıdan yanıt veriyor mu, istemcinin beklediği kimliği sunuyor mu, yanıt isteğin geldiği yoldan mı çıkıyor ve istemci ada ihtiyaç duymadan önce onu öğrenebiliyor mu. Yanıtın hayır olduğu yerde o katmanı düzeltin ve test ana bilgisayarı yerine dağıtılmış profille yeniden test edin, çünkü laboratuvardan bir el sıkışma, gerçek istemcinin tamamlanmış bağlantısından daha azını kanıtlar.

Her WAN için adres, bağlantı noktası, sonlandıran arayüz, sertifika adı, dönüş yolu ve çeviri kuralı içeren kısa bir kayıt tutun ve bir hat, bir NAT cihazı ya da bir istemci sürümü her değiştiğinde yeniden denetleyin. Kullanılmayan yedek yollar sessizce çürür: kimsenin kullanmadığı giriş için kimse uyarı almaz, ta ki herkesin ona bağlı olduğu güne kadar.