pfSense'te üç tür OpenVPN yük devretme, üç mekanizma

pfSense'te „OpenVPN failover“ en az üç birbirinden bağımsız tasarımı kapsar ve her biri farklı bir mekanizma gerektirir. Bir tüneli yedek internet bağlantısı üzerinden canlı tutmak, başka bir sunucuya yeniden bağlanmak ve LAN trafiğini başka bir kurulu tünele yönlendirmek tek bir özelliğin varyasyonları değildir. Bir ağ geçidi grubu kurmadan önce hangi arızaya karşı savunduğunuzu seçin. Birini düzelten grup, diğer ikisi için hiçbir şey yapmaz.

Grup kurmadan önce arızayı adlandırın

Kesinti sırasında doğru olmasını istediğiniz cümleyi yazın. „Tünel yedek WAN üzerinden yeniden bağlanır“ ve „şube uygulamaya diğer tünel üzerinden ulaşmaya devam eder“ farklı cümlelerdir. Yalnızca ilki taşımayla ilgilidir.

Sonra bunu bir mekanizmaya eşleyin. Yerel WAN kaybı bir arayüz seçimi sorunudur, ölü bir uzak uç nokta bir bağlantı listesi sorunudur ve kurulu bir tünelin içindeki kullanılamaz bir yol yönlendirme ve politika sorunudur.

Yerel WAN: taşımayı taşıyın

Bir pfSense OpenVPN istemcisi için desteklenen çok WAN düzeni, istemcinin bağlandığı arayüz olarak uygun bir ağ geçidi grubu seçer. Birincil başarısız olduğunda dış bağlantının yedek hat üzerinden çıkmasını sağlayan budur. Kendi başına iç trafiğin nasıl yönlendirildiğini değiştirmez.

Aynı tasarımın sunucu tarafı ayrıdır. Birden çok genel adres üzerinden erişilebilir olması gereken bir OpenVPN sunucusu, bu girdilerin her biri için bir dinleyici ve giriş politikası gerektirir; yalnızca iki hat üzerinden arama yapabilen bir istemci yeterli değildir. Çalışan bir genel giriş, ikincisinin yapılandırıldığının kanıtı değildir.

İletilen LAN paketleri için politika tabanlı yönlendirme kuralı, yerel olarak oluşturulan bir VPN taşıma bağlantısını taşıyan ayar değildir. Bunlar iki farklı aramadır ve birini değiştirmek diğerini değiştirmez.

Uzak uç nokta: başka bir sunucu

Alternatif remote bir bağlantı listesi özelliğidir. İstemci, mevcut girdi yanıt vermediğinde bir sonrakini dener; bu, kendi yukarı akış hattınız değil de belirli bir ana makine çöktüğünde yararlıdır. İki arıza kullanıcının masasından benzer görünür ve farklı düzeltmeler gerektirir.

Her aday gerçek bir yedek olmalıdır: uyumlu kimlik doğrulama, uyumlu istemci politikası ve aynı özel kaynaklara erişim. Aynı arızalı altyapıya çözümlenen ikinci bir ana makine adı yedek değildir. Gerekli rotası olmayan bir sunucu da değildir, el sıkışması ne kadar sağlıklı görünürse görünsün.

Bu mekanizma iki tüneli aynı anda iletmeye de yaramaz. Bir bağlantıyı sırayla diğeriyle değiştirir ve aralarındaki boşluk, çalışan her şey tarafından görülür.

Tünel yolu: başka bir çıkış seçin

İki tünel zaten ayaktayken ve trafik daha sağlıklı olanı kullanması gerekiyorsa, mekanizma kendi ağ geçidine sahip atanmış bir VPN arayüzü ve doğru trafiği oraya gönderen açık bir politika kuralıdır. Bu atanmış arayüzler üzerinde bir ağ geçidi grubu önceliği ve izlemeyi ifade edebilir.

Bu tasarım seçimle ilgilidir, kurtarmayla değil. Yeni bağlantıları ikinci tünele taşımak, birincide zaten kurulmuş oturumlar hakkında hiçbir şey söylemez ve karşı tarafın yeni kaynak adresini kabul edip etmeyeceği hakkında da hiçbir şey söylemez. Bunu bir kurtarma mekanizması olarak ele almak, beklentileri çok yükseğe koymanın yoludur.

Gereksinim mevcut oturumların hayatta kalmasıysa, bunu açıkça söyleyin. Çoğu uygulama canlı bir akışı tüneller arasında taşımaz ve taşıyormuş gibi tasarlamak, şemada doğru görünen ama pratikte her açık bağlantıyı düşüren bir yük devretme üretir.

İzleyiciler, NAT ve fail-closed kuralı

Bir izleyici, tünelin sunması gereken bir şeyi test etmelidir. Tünel eşinden yanıt veren ama arkasındaki uygulama ağından vermeyen bir hedef, kullanıcılar hiçbir şey görmezken sağlıklı bildirir. Erişilemeyen bir tanılama hedefi, yol iyiyken ölü bildirir. Adresi bilinçli seçin ve yalnızca amaçlanan tünel üzerinden erişilebilir olduğunu doğrulayın.

Her iki çıkış için giden NAT'ı kontrol edin. Birincil üzerinde çalışan bir çeviri, yedeğin kaynak adresini tanımlamaz ve uzak özel ağ, sunduğunuz kaynakla eşleşen bir dönüş rotasına ihtiyaç duyar. Bir yolda doğru olan çeviri, diğerinde sessizce yanlış olabilir.

Sonra WAN'ı hiç kullanmaması gereken trafiğe ne olacağına karar verin. pfSense, seçili ağ geçidi çökmüş kurallar için tanımlı bir davranışa sahiptir ve daha sonraki geniş bir izin kuralı veya varsayılan rota niyetinizi bozabilir. Engellenen sonucu bir gereksinim olarak yazın, sonra yolu kaldırarak doğrulayın.

Kayıp ve kurtarmayı ayrı ayrı, üretmeye yetkili olduğunuz trafikle test edin ve aynı anda üç şeyi izleyin: dış bağlantıyı taşıyan WAN, uygulama isteğini taşıyan tünel ve yanıtın izlediği yol. Bir çift yeşil ağ geçidi göstergesi o üçünden biri değildir. Netgate'in çok WAN kılavuzu bu işin dayandığı taşıma bağlamasını ve dışa aktarılan istemci alternatiflerini açıklar.