VPN bir nechta yo'l bo'ylab: operator taqdim etishi kerak bo'lgan to'rt kafolat

Ikkinchi WAN ulanishini qo'shing, tunnellar ko'tariladi, ammo bitta yo'l tebranganda fayl nusxalash baribir to'xtab qoladi. Ulanishlar sog'lom va VPN jarayonlari ishlayapti; yetishmayotgan narsa operator va tunnel o'rtasidagi shartnoma. Bir nechta soket avtomatik ravishda bitta ulanish kabi harakat qilmaydi va ular ustidagi dastur yetkazib berish buzilmaguncha farqni ko'ra olmaydi. Shartnomaning har bir qismi sinab ko'rish mumkin bo'lgan nosozlikka mos keladi va bu uni foydali qiladi.

Mahsulot tanlashdan oldin bu shartnomani yozing. Uning to'rt qismi bor: VPN oladigan oqim, operator yo'qolgan ma'lumotlarni qanday tiklaydi, qaysi oxirgi nuqta identifikatori yo'l o'zgarishidan omon qoladi va yo'l ishdan chiqqanda hammasi qanday harakat qiladi.

Alomat: ulanishlar ochiq, sessiya baribir uziladi

Ikkala ulanish ochiqligini ko'rsatadigan monitoring grafigi faqat har bir yo'l trafikni tashiy olishini isbotlaydi. U VPN bitta tartibli oqimni ko'rishini, bir yo'lda yo'qolgan paketning boshqasida tiklanishini yoki hamkor qaysi sessiya bilan gaplashayotganini hali bilishini isbotlamaydi. Shartnomaning qolgan qismi grafik ko'rsata olmaydigan narsani qamrab oladi.

Uzatish to'xtab qolganda, operator omon qolgan yo'lda yetkazishni davom ettirganini aniqlang. Ikkinchi ulanish bo'sh turganda sessiya o'lsa, operator undan hech qachon foydalanmagan. Sessiya omon qolsa, lekin ma'lumotlar tartibsiz yoki ikki marta kelsa, operator ulanish darajasidagi shartnomasiz paketlarni harakatlantiradi. Ikkala tomondagi vaqt belgilari buni odatda aniqlashtiradi.

Bu farq tuzatishni belgilaydi. Marshrutlash yoki siyosat muammosi yo'l tanlashni o'zgartirishni talab qiladi; yetishmayotgan tartiblash va tiklash qatlami boshqa transportni talab qiladi, kattaroq buferni emas.

Birinchi kafolat: ulanish darajasidagi bayt oqimi

Agar VPN ishonchli tartibli oqimga muhtoj bo'lsa, operator bayt diapazonlarini alohida yo'l ustida aniqlashi kerak. Har bir asosiy TCP ulanishi faqat o'z segmentlarini raqamlaydi, shuning uchun qabul qiluvchi faqat shu raqamlar bilan yo'llar orasida qayta tartiblay olmaydi.

Multipath TCP standartlashtirilgan misoldir. U bitta ishonchli bayt oqimini taqdim etib, bir nechta TCP oqimchalarini muvofiqlashtiradi, ma'lumot darajasidagi ketma-ketlik xaritasi va tasdiqlash bilan. Dastur oqimni o'qiydi, bo'lakni birinchi yetkazgan oqimchani emas.

Linuxda MPTCP har bir soket uchun IPPROTO_MPTCP orqali opt-in hisoblanadi. Kelishuv ko'p yo'lli xatti-harakatdan foydalana olmasa, hujjatlashtirilgan zaxira variant oddiy TCP bo'lib, bu dastur ikkinchi yo'ldan hech qachon foydalanmasdan bitta yo'lda davom etishi mumkinligini bildiradi. Yadro sozlamasi qo'llanildi deb taxmin qilish o'rniga joylashtirilgan soket aslida qanday xatti-harakatni kelishganini tekshiring.

Ikkinchi kafolat: tartiblash, takrorlash va tiklash

Turli kechikish va yo'qotish darajasidagi yo'llar operatorni buferlash, qayta tartiblash va qayta yuborishga majbur qiladi. Shartnoma ruxsat etilgan buferlashni, dastur ko'radigan qarshi bosimni va qayta yuborishni qaysi yo'l tashiishini ko'rsatishi kerak.

Ulangan bo'lib qolib, yetkazishni to'xtatgan yo'l toza yopilishdan qiyinroq. Operator uni aniqlashi, kutayotgan ma'lumotlarni ko'chirishi va hech qachon kelmaydigan segmentni abadiy kutishdan qochishi kerak. Ikkala ulanish ochiqligini oddiy tekshirish bu holatni qamrab olmaydi.

Takrorlash o'z qoidasini talab qiladi. Bir xil yukni ikkala yo'lda yuborish kechikishni yaxshilashi mumkin, lekin qabul qiluvchi nusxani VPNga yetib bormasdan bostirishi kerak. IPsec anti-replay har bir xavfsizlik assotsiatsiyasi uchun ixtiyoriy bo'lib, ketma-ketlik raqamlarini tekshiradi; paketlarni qayta tartiblaydigan yoki qayta o'ynaydigan takrorlash qatlami uni ishga tushirishi yoki tunnel yiqilguncha muammoni yashirishi mumkin.

Uchinchi kafolat: oxirgi nuqta identifikatori va yo'lning qo'shilishi

Hamkorga yangi yo'l paydo bo'lganda sessiyani tanib olishning barqaror usuli kerak. Agar har bir yo'l alohida tunnel sifatida autentifikatsiya qilinsa, VPN ikkita sessiyani ko'rishi mumkin. Agar operator yo'llarni bitta sessiya ostida birlashtirsa, yangi yo'l qanday autentifikatsiya qilinishini va eskisiga nima bo'lishini belgilashi kerak.

Qaysi manzillar va identifikatorlar barqaror qolishini yozib oling: tunnelning oxirgi nuqtasi, operatorning sessiya identifikatori va ular orasidagi har qanday proksi. Proksi himoyalangan yukni hech qachon ko'rmasa ham, yana bir mavjudlik va ishonch chegarasini qo'shadi.

Siyosat ham shu yerda yashaydi. Kutilmagan tarmoqdan qo'shilgan yo'l texnik jihatdan haqiqiy bo'lib, baribir ko'zlangan ishonch modelini buzishi mumkin. Yangi yo'llar avtomatik qabul qilinadimi, autentifikatsiya talab qiladimi yoki rad etiladimi — qaror qiling.

To'rtinchi kafolat: nosozlik ostida cheklangan xatti-harakat

To'liq yo'l nosozligini sinab ko'ring, faqat sekin yo'lni emas. Omon qolgan yo'l sessiyani cheksiz xotira o'sishisiz tashishi kerak va tiklash dastur chiday oladiganidan uzoqroq taymerga bog'liq bo'lmasligi kerak. Nosoz yo'l qaytganda, operator qayta muvozanatlash yoki oqimni joyida qoldirishni hal qilishi kerak.

Buferlash, qayta yuborish va yo'llar soni uchun chegaralar belgilang, so'ng ularni yo'qotish, qayta tartiblash, takrorlash va kechikish nomutanosibligi ostida tekshiring. Umumiy o'tkazish qobiliyati bu yerda eng qiziqarsiz raqam; yetkazish uzluksizligi va xotira chegaralari — shartnoma.

Operatorning tiklanish holatini VPNning kriptografik holatidan alohida saqlang. O'rnatilgan autentifikatsiya yoki shifrlashni almashtiruvchi maxsus ishonchlilik qatlami qisqa yo'l emas va ketma-ketlik raqamlarini qatlamlar orasida qayta ishlatish replay himoyasi va diagnostikani ishonchsiz qiladi.

Operatorni sinov rejasi bilan qabul qiling

To'rt kafolatni o'tdi yoki o'tmadi tekshiruvlari sifatida yozing: bitta tartibli oqim, belgilangan tiklash, barqaror sessiya identifikatori, cheklangan nosozlik xatti-harakati. Har bir tekshiruvni bitta yo'l yomonlashtirilgan, so'ng bitta yo'l olib tashlangan holatda bajaring.

Yo'l o'zgarishi orqali bitta muvaffaqiyatli fayl uzatish uzluksiz ishlashni isbotlamaydi. Afzal ko'rilgan yo'lni almashtirib uzatishni takrorlang va ham operatorning ko'rinishini, ham VPNning o'z hisoblagichlarini tekshiring. Ikkisi ma'lumotni qaysi yo'l tashiganligi borasida kelishmasa, shartnoma hali kuzatilmaydi.

Tasdiqlangan matritsani joylashtirish bilan birga saqlang. U keyingi muhandisga qanday xatti-harakat va'da qilinganini, qaysi yo'l kombinatsiyalari sinovdan o'tganini va qaysi nosozlik rejimi hali qo'llab-quvvatlanmasligini ulanish holati chiroqlaridan yangi taxmin qilmasdan aytadi.