Beleidgestuurde routering instellen voor gescheiden back-up- en gebruikersverkeer

Scheid back-upverkeer af met een expliciet bronadres of pakketmarkering, een speciale routingtabel en een nauwkeurig afgebakende regel. Vervang de belangrijkste standaardroute niet en ga er niet van uit dat interfacestatistieken twee workloads vanaf dezelfde host kunnen classificeren.

Dit ontwerp is nuttig wanneer interactieve gebruikers de snelle uplink of uplink met lage latentie nodig hebben, terwijl geplande back-ups een secundaire gateway gebruiken. Het risico is asymmetrische routering: antwoorden verlaten de host via een andere interface dan waarlangs het verzoek binnenkwam, waardoor stateful firewalls of externe peers de sessie kunnen weigeren. Houd consoletoegang beschikbaar, leg de oorspronkelijke regels vast en bouw het alternatieve pad op voordat je verkeer ernaartoe stuurt.

Kies een stabiele classifier

Gebruik een speciaal bron-IP-adres wanneer de back-upservice aan één adres kan worden gebonden. Dit is eenvoudiger te controleren en blijft beter werken na herstarts van de service dan regels die zijn gebaseerd op veranderende bestemmingsadressen.

Als beide workloads één adres delen, classificeer je back-upverbindingen met een firewallmarkering en behoud je die markering voor de verbinding. Linux-policyrouting evalueert regels voordat de geselecteerde tabel wordt geraadpleegd; de database voor routeringsbeleid is daarom de beslislaag, terwijl elke tabel routes bevat.

Classificeer niet uitsluitend op basis van het IP-bereik van een cloudprovider, tenzij je die lijst beheert en onderhoudt. Als geen stabiele bron, bestemming, poort, gebruiker of namespace de back-upstroom identificeert, stop dan en scheid de workload eerst op container- of netwerkinterfaceniveau.

Bouw de back-uptabel voordat je de regel toevoegt

Maak een benoemde tabel met de route naar het direct verbonden subnet en de standaardroute via de back-upgateway. Zonder de route naar het direct verbonden subnet kan de gateway zelf onbereikbaar zijn, ook al ziet de standaardvermelding er correct uit.

Controleer de voorgestelde beslissing met een routeopzoeking waarin hetzelfde bronadres of dezelfde markering wordt opgegeven als de service zal gebruiken. Een resultaat met de back-upinterface en de verwachte bron is goed; als de opzoeking terugvalt op de hoofdtabel, zijn de classifier of de prioriteit onjuist.

Voeg de specifieke regel toe met een prioriteit die vóór de algemene regel voor de hoofdtabel komt, maar lokale routes niet overschrijft. Houd in dezelfde terminalsessie een expliciete opdracht voor terugdraaien bij de hand en test nooit eerst via het pad dat je wijzigt.

Behoud symmetrie van antwoorden en lokale toegang

Controleer of de upstreamrouter weet hoe verkeer naar het geselecteerde bronnetwerk moet worden teruggestuurd, of pas alleen op de juiste uitgangsgrens source NAT toe. Een beleidsregel kan een uitgaande route kiezen, maar kan een externe gateway niet laten begrijpen dat een onbekend privénetwerk bestaat.

Controleer reverse-path-filtering wanneer geldige antwoorden binnenkomen via een interface die Linux volgens de hoofdtabel niet zou selecteren. Gebruik een modus die past bij het multihomed ontwerp in plaats van validatie globaal uit te schakelen, en controleer de keuze met pakketcaptures op beide interfaces.

Houd beheer-, DNS- en LAN-verkeer in de hoofdtabel, tenzij scheiding anders vereist. De ZimaSpace-gids over betrouwbaar gebruik van netwerkshares is een nuttige aanvulling wanneer de gerouteerde back-up ook afhankelijk is van een gekoppeld opslagpad.

-15% OFF

ZimaBoard 2 - Mini-thuisserver voor jouw grote idee

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

Test zowel storingen als succes

Start één interactieve overdracht en één back-up en controleer vervolgens de interfacetellers en verbindingsstatus. Het aantal back-upbytes hoort alleen op de back-upuitgang toe te nemen, terwijl de gebruikerssessie via het primaire pad blijft lopen.

Blokkeer of verbreek de verbinding met de back-upgateway tijdelijk tijdens een gecontroleerd onderhoudsvenster. Als het ontwerp fail-closed is, hoort de back-up te stoppen zonder stilzwijgend naar de gebruikersverbinding over te schakelen; als failover de bedoeling is, leg dat gedrag dan vast en beperk de bandbreedte ervan.

Start het systeem eenmaal opnieuw op en herhaal de oorspronkelijke gelijktijdige workload, zodat wordt aangetoond dat de volgorde van de regels en de markeringen persistent zijn. Stop wanneer opzoekingen, pakketcaptures en applicatielogs overeenkomen; draai de wijzigingen terug als de beheertoegang verandert, antwoorden asymmetrisch worden of niet-gerelateerd verkeer in de back-uptabel terechtkomt.