Ikkinchi WAN VPN kirish ishlamaydi, asosiy kirish esa ishlashda davom etadi

Asosiy tunnel ochiq qoladi, foydalanuvchilar ishlashda davom etadi, ikkinchi ISP konturi esa nima o'zgartirsangiz ham bo'sh turadi. Zaxira kontur uchun manzil e'lon qildingiz, unga nom yo'naltirdingiz, ehtimol mijozga zaxira kirish qo'shdingiz, mijoz esa uni hech qachon sinamaydi yoki autentifikatsiyadan o'tib keyin o'chadi. Men kuzatgan holatlarda zaxiraga o'tish funksiyasi odatda joyida edi; kirishni ishlatsa bo'ladigan qiladigan beshta narsadan biri yetishmayotgan edi. Nom o'sha interfeysda hech narsa tinglamasa ham zaxira manzilga yechilishi mumkin, tinglovchi esa javob asosiy kanaldan chiqib ketayotganda ham ulanishni qabul qilishi mumkin. Har bir WAN ni o'z shartnomasiga ega alohida kirish deb qarang, shunda nosozlik mijoz xatosi kabi ko'rinmaydi.

Har bir WAN o'z kirish shartnomasiga muhtoj

Har bir WAN uchun beshta maydonni yozib oling: ommaviy nom va manzil, transport va port, uni tugatuvchi interfeys yoki kontekst, u taqdim etishi kerak bo'lgan peer identifikatsiyasi va javob qayerdan chiqadi. Ikki kontur ikkita to'liq to'plam demakdir. Agar ikkinchi to'plamda tugatuvchi interfeys yoki qaytish yo'li bo'lmasa, sizda zaxira kirish yo'q; sizda niyatni tavsiflovchi DNS yozuvi bor.

Qurilma va uning versiyasi ham bu tartibni qo'llab-quvvatlashi kerak. DNS yozuvi boshqa interfeysda xizmat ocha olmaydi, ko'p platformalarda tinglovchi qurilma bo'yicha emas, manzil bo'yicha sozlanadi. ASA da interfeysga asoslangan IPsec kripto xaritalar va tunnel guruhlarini tashqi interfeysga bog'laydi, shuning uchun ikkinchi uplink o'sha paketlar haqiqatan keladigan joyda siyosatga muhtoj. Marshrutga asoslangan dizaynlar boshqacha ishlaydi: tinglovchi har bir manzilga yoki bitta nomlangan manzilga bog'lanishi mumkin va bu tanlov ISP B umuman javob bera oladimi-yo'qmi ekanini hal qiladi.

Ikkinchi WAN haqiqatan javob berishini tekshiring

Ikkala konturdan tashqaridan sinang, shlyuz orqasidagi mashinadan emas, va mijoz profili ishlatadigan aniq nomni sinang. TLS tinglovchisi uchun tezkor tekshiruv openssl s_client -connect ADDRESS:443 -servername vpn.example.com -showcerts bo'lib, u tarmog'ingizdan tashqaridagi xostdan ishga tushiriladi. Profildagi nomga zanjiri mos keladigan tugallangan qo'l siqish kerak, faqat ulanishni qabul qiladigan TCP port emas.

RFC 9525 mijoz nimani tekshirishini tushuntiradi: u yetib bormoqchi bo'lgan identifikatsiya, xizmat taqdim etayotgan sertifikat bilan solishtiriladi. Asosiy kirishning sertifikatini qaytaradigan ikkinchi kirish yoki ikkala nomdan hech birini ko'rsatmaydigan standart sertifikat, port ochiq va xavfsizlik devori ruxsat bergan bo'lsa ham bu sinovdan o'tmaydi.

Bu yerdagi nosozliklarning ko'pini ikkita naqsh tushuntiradi. Osilib qolgan ulanish odatda o'sha interfeysda tinglovchi yo'qligini, faqat asosiy quyi tarmoqlarga ruxsat beruvchi kirish qoidasini yoki ikkinchi kontur oldidagi operator qurilmasi portni tashlab yuborayotganini bildiradi. Noto'g'ri identifikatsiya bilan tugaydigan qo'l siqish odatda boshqa ishonch nuqtasini, standart virtual xostni yoki identifikatsiya to'g'rilanmasdan asosiydan ko'chirilgan konfiguratsiyani bildiradi.

Javobni kuzatib boring, faqat so'rovni emas

Ikkinchi WAN odatda qaytish yo'lida buziladi. So'rov ISP B ga keladi, qurilma javob beradi, javob esa ISP A dagi standart marshrut orqali chiqib ketadi, mijoz hech qachon so'ramagan manba manzili bilan. Holatli tarjima buni yanada yomonlashtiradi: agar xaritalash asosiy interfeys uchun qurilgan bo'lsa, qaytayotgan paket tarjimadan o'tmay qoladi yoki mijoz xavfsizlik devori tashlab yuboradigan manbani olib keladi. Provayderlar ham sizga bergan konturga tegishli bo'lmagan manba manzillarni tashlaydi, shuning uchun bu toza protokol xatosi emas, bir tomonlama qora tuynuk kabi ko'rinadi.

Ikkinchi kirishdan manba oladigan trafik uchun marshrutlash qarorini tekshiring. Javob so'rov kelgan interfeysdan chiqishi yoki hech bo'lmaganda uzoq tomon o'sha yo'lga tegishli deb qabul qiladigan manzilni olib yurishi kerak. Siyosat marshrutlash platformalarida bu kiruvchi interfeys yoki tarjima qilingan manbaga bog'langan qoida, qo'shimcha ravishda har bir tashqi interfeysga bog'langan tarjima bayonoti demakdir. Mijoz ulanayotganda ikkala interfeysda bir vaqtda ushlash oling; ISP B da kelayotgan SYN va ISP A dan chiqayotgan SYN-ACK savolni bir yurishda hal qiladi.

Mijozga ikkinchi kirish haqida bilish yo'lini bering

Zaxiraga o'tish mijoz tomonidagi qaror va har bir mijoz oilasi muqobillarni turlicha o'rganadi. ASA da zaxira server ro'yxati guruh siyosatining webvpn atributlari orqali yetkaziladi, boshqa mijozlar esa profil ichidagi ro'yxatni yoki foydalanuvchi tanlaydigan qo'lda ikkinchi profilni kutadi. Cisco ning ulanish siyosati qo'llanmasi ham mijozda sozlangan, ham shlyuz taqdim etgan zaxira ma'lumotini tavsiflaydi va bu protokolga xos tafsilotlarni har bir mijoz yoki tunnel rejimiga umumlashtirmaslik kerak. Ikkinchi kirishni noto'g'risi atrofida qurishdan oldin o'rnatilgan mijoz qaysi mexanizmni qo'llashini tasdiqlang.

Mexanizm qanday bo'lishidan qat'i nazar, mijoz asosiy yo'lni yo'qotishdan oldin muqobil nomni yecha olishi kerak. Odamlar aynan shu bog'liqlikni o'tkazib yuboradi: agar zaxira nomga endigina ishlamay qolgan tunnel orqali yetib boriladigan rezolver javob bersa, zaxira hatto boshlanmaydi. Ikkinchi nomni mahalliy yoki internet orqali javob beradigan rezolverda e'lon qiling. O'tishdan keyin yangi autentifikatsiya va yangi dastur seansi kutiladi, chunki mijozning zaxiraga o'tishi holatli o'tish emas va uzoq muddatli seanslar undan omon qolmaydi.

Ikki provayderda bitta manzil boshqa mahsulot

Bitta ommaviy manzilni ikkala kontur orqali yetib boriladigan saqlash marshrutlash xizmati, VPN dagi belgilash katakchasi emas. Bunga ikkala provayder olib o'tishga tayyor manzil maydoni kerak, ularning tarmoqlari qabul qiladigan tarzda e'lon qilingan bo'lishi kerak, buni esa provayderdan mustaqil maydon va BGP bilan multihoming beradi. ISP A manzilini ISP B interfeysiga berish sizni u yerga olib bormaydi; paket bu prefiksni hech qachon e'lon qilmagan tarmoqqa yetib boradi va yuqori oqimda tashlab yuboriladi.

Ikki kirishni e'lon qilish uchun bularning hech biri kerak emas. Agar mijoz ikkita nomni ushlab tura olsa va ular orasida zaxiraga o'ta olsa, ikkita mustaqil kirish yetarli, shunda siz AS raqami, peering kelishuvi va hamma joyda qabul qilinishi kerak bo'lgan prefikstdan qutulasiz. Ko'chiriladigan manzil variantini faqat mijozlar qayta sozlab almashtira olmaydigan bitta barqaror kirish nuqtasi haqiqatan kerak bo'lganda yoki TTL kechikishli DNS ga asoslangan zaxiraga o'tish siz loyihalayotgan uzilish uchun juda sekin bo'lganda ko'rib chiqing.

Keyin nima tekshiriladi

Ishlamay qolgan kirishdan tashqariga qarab shu tartibda ishlang: ikkinchi manzil tashqaridan javob beradimi, mijoz kutgan identifikatsiyani taqdim etadimi, javob so'rov kelgan yo'ldan chiqadimi va mijoz nomni kerak bo'lishidan oldin bilib ola oladimi. Javob yo'q bo'lgan joyda o'sha qatlamni tuzating va sinov xosti o'rniga o'rnatilgan profil bilan qayta sinang, chunki laboratoriyadagi qo'l siqish haqiqiy mijozning tugallangan ulanishidan kamroq narsani isbotlaydi.

Har bir WAN uchun manzil, port, tugatuvchi interfeys, sertifikat nomi, qaytish yo'li va tarjima qoidasi bilan qisqa yozuv yuriting va kontur, NAT qurilmasi yoki mijoz versiyasi o'zgarganda uni qayta tekshiring. Ishlatilmayotgan zaxira yo'llar jimgina chirib boradi: hech kim ishlatmaydigan kirish haqida hech kim ogohlantirilmaydi, hamma unga tayanadigan kungacha.