Rút ngắn bộ đếm DPD không làm chuyển đổi dự phòng VPN nhanh hơn

Đường hầm sụp, khôi phục mất chín mươi giây và bộ đếm peer chết được đặt ở mười, nên bộ đếm bị đổ lỗi. Lập luận đó bỏ qua ba giai đoạn xảy ra sau khi phát hiện và thường chiếm phần lớn thời gian. Phát hiện sự sống nhận ra sự im lặng; sau đó chọn peer, xác thực, cài đặt tuyến đường và kết nối lại ứng dụng lần lượt đến lượt. Rút ngắn giai đoạn đầu không thể rút ngắn các giai đoạn khác, và nó có thể thêm xáo trộn cho một hệ thống vốn đã chật vật.

Bốn giai đoạn, một trong số đó bạn có thể đo thời gian

Viết quá trình khôi phục thành bốn sự kiện có dấu thời gian. Sự cố trở nên quan sát được: lưu lượng được bảo vệ hữu ích cuối cùng và yêu cầu thất bại đầu tiên. Cơ chế chủ sở hữu phản ứng: phát hiện sự sống, một giám sát tuyến đường hoặc một tác nhân được ghi chép khác. Phương án thay thế trở nên dùng được: chọn peer, xác thực, một liên kết mới và tuyến đường thực sự mang lưu lượng dự định. Ứng dụng phục hồi: một thao tác mới thành công và việc đang dở có kết quả xác định.

Quy tắc sự sống của IKEv2 mô tả bằng chứng về peer và các trao đổi của nó, và không nói gì về cơ sở dữ liệu hay dịch vụ tệp phía sau peer đó. Đọc thời gian chờ sự sống như kiểm tra sức khỏe của toàn bộ đường đi là sai lầm khởi đầu cuộc săn bộ đếm.

Vì sao bộ đếm là con số ít thú vị nhất

Các giá trị được cấu hình không phải đơn vị hoán đổi được. Một số là khoảng thử lại, một số là giới hạn trên của một lần thử, và một số chạy song song với những cái khác. Cộng chúng lại tạo ra một con số trông như dự đoán nhưng hành xử như tin đồn. Hãy đọc tài liệu của trường bạn sắp chạm vào và ghi lại nó thuộc loại nào trong ba loại.

Các giai đoạn khác hoàn toàn không phải bộ đếm. Độ trễ kết nối lại, lời nhắc xác thực tương tác hay một ứng dụng khách chỉ đánh giá lại cấu hình khi khởi động lại đều có thể chi phối sự cố trong khi mọi bộ đếm giao thức nằm yên ở mức thấp.

Đo giai đoạn thực sự chậm

Bắt lấy sự cố một lần, với dấu thời gian ở cả hai phía, rồi so sánh bốn sự kiện thay vì các bộ đếm của chính giao thức. Một cửa sổ quan sát được làm đúng còn hơn một tháng tinh chỉnh.

ip -4 route get 203.0.113.10
tcpdump -ni any -c 20 "esp or icmp"

Nếu điểm cuối thay thế không bao giờ trả lời, không thay đổi bộ đếm nào giúp được, vì không thể tới được không phải là vấn đề phát hiện. Nếu trạng thái bảo mật mới hình thành nhanh nhưng tuyến đường vẫn trỏ tới đường chết, vấn đề là cài đặt tuyến đường và một lần chỉnh sự sống nữa chỉ thêm xáo trộn.

Phương án thay thế phải sẵn sàng dùng được

Một bản sao lưu được định nghĩa trong cấu hình không phải là bản sao lưu hoạt động. Nó phải tới được từ mạng hiện tại của ứng dụng khách, xác thực được cùng một danh tính và được phép mang cùng lưu lượng theo cùng chính sách. Nếu phát hiện bất kỳ lỗ hổng nào trong ba lỗ hổng đó trong lúc gián đoạn, cuộc thảo luận về bộ đếm trở nên không liên quan. Hãy kiểm tra phương án thay thế khi cái chính còn khỏe, vì đó là lúc duy nhất bạn có thể đọc hai nhật ký cạnh nhau.

Hãy trang bị phương án thay thế trước, kiểm tra nó có chủ đích khi cái chính còn khỏe và ghi lại giai đoạn nào trong bốn giai đoạn chiếm thời gian. Chính bản ghi đó biến thay đổi tiếp theo thành phép đo thay vì phỏng đoán.

Xáo trộn khi quay lại và đường quản lý

Khôi phục cái chính là một quyết định riêng. Quay lại mạnh tay có thể cắt ngang công việc đã phục hồi trên bản sao lưu, và một đường đi dao động có thể trông như đường hầm không ổn định khi lỗi thật là một tuyến đường cứ dao động giữa hai lựa chọn ngang nhau.

Hai tuyến đường cùng chi phí không có ưu tiên là nguồn dao động thấy được thông thường, vì mỗi giám sát phản ứng với lựa chọn của cái kia. Hãy quyết định tuyến nào được ưu tiên trong điều kiện bình thường và làm cho ưu tiên đó rõ ràng trong cấu hình thay vì để nó cho thứ tự tuyến đường. Xác định trước hành vi quay lại mong muốn và ai sở hữu nó. Giữ lại cài đặt trước đó và một đường quản lý độc lập, vì một thay đổi loại bỏ quyền truy cập của chính bạn trong lúc gián đoạn biến sự cố mạng thành một chuyến thăm hiện trường.

Sau đó lặp lại cùng khối lượng công việc và so sánh cùng bốn dấu thời gian. Một lần khôi phục ngắn hơn nhưng vẫn để ứng dụng chờ cùng tuyến đường hoặc đăng nhập bị thiếu không phải là tiến bộ, đó là một con số khác trên cùng đồ thị.