冗余 openvpn 配置

Question

我有两个带有鲤鱼的 openbsd nat/防火墙盒，用于故障转移/高可用性目的。确保我计划在这些机器上运行的 OpenVPN 也能正常故障转移的最佳实践是什么？

Answer 1

OpenVPN 不支持两个不同守护程序实例之间的任何类型的状态共享，因此不，您不能进行无缝故障转移。

但是，您始终可以将客户端配置为优雅地处理服务器故障。如果这种冗余满足您的需求，您可以通过结合 OpenVPN 实际拥有的两个功能来实现：

1) 在与服务器断开连接后自动重试，并且 2) 每次尝试连接到预定义列表中随机选择的服务器。

基本思想是您可以运行两个（或三个或更多）OpenVPN 服务器，并将它们的所有 IP 地址或主机名添加到您的 VPN 客户端配置中。此外，客户端应快速重试，以尽量减少用户遇到的停机时间。当一台服务器出现故障时，客户端会轮换到其连接列表中的下一个地址，并且连接会在很短的时间内重新建立。

该文档可在以下位置获得：

• http://openvpn.net/index.php/open-source/documentation/manuals/69-openvpn-21.html

特别是，您可能需要查看这些配置选项：

• 偏僻的
• 连接重试
• 连接重试最大
• 远程随机
• ifconfig-pool-persist

您应该能够在客户端将这些选项添加到您可能已经在使用的其他客户端/服务器选项的任意组合之上。只需记住将“connect-retry”保持在较低的水平，将“connect-retry-max”保持在较高的水平（甚至可能是无限的），它应该可以很好地工作。