Cajeros automáticos con OpenVPN: ¿qué ocurre cuando falla la WAN?
Un cajero automático puede recuperar el acceso a Internet antes de poder procesar la siguiente transacción. Cuando falla una conexión por cable, el cambio a la red celular restablece la ruta de red subyacente. El túnel OpenVPN todavía debe volver a conectarse y la aplicación de transacciones debe recuperarse.
Esta secuencia explica por qué la conmutación WAN, la recuperación de la VPN y la recuperación de la aplicación deben considerarse juntas. Este artículo sigue el recorrido desde un cajero automático remoto hasta los sistemas de procesamiento de un centro de datos, incluido lo que ocurre cuando la conexión se comparte con cámaras u otros equipos del emplazamiento.
La conexión por cable falla. ¿Qué ocurre después?
Pensemos en un emplazamiento donde un cajero y un grabador de vídeo comparten una conexión a Internet por cable. El cajero tiene su propio segmento de red, mientras el grabador sube imágenes en segundo plano. El router también dispone de dos tarjetas SIM de operadores diferentes.
Si falla la conexión por cable, el router detecta el fallo y cambia a la primera conexión celular. Esto le proporciona otra vía de acceso a Internet. Por sí solo, no demuestra que el cajero pueda llegar al sistema de procesamiento de transacciones.
El cliente OpenVPN debe establecer su túnel a través de la nueva ruta. El servidor autentica el router y las rutas configuradas llevan el tráfico del cajero a los sistemas de procesamiento situados detrás del servidor. La aplicación puede entonces intentar el siguiente intercambio. La rapidez con la que tenga éxito depende de la recuperación de la red y del comportamiento de la propia aplicación.
Si el primer operador deja de estar disponible más adelante, el cambio a la segunda SIM inicia otra secuencia de recuperación. Un segundo operador ofrece una ruta alternativa cuando su servicio está disponible; aun así, hay que probar la conmutación. En emplazamientos sin línea fija, el mismo razonamiento se aplica a la red celular como conexión principal.
Estas distinciones resultan útiles al investigar una interrupción: una WAN activa, una VPN conectada y una transacción completada son tres observaciones diferentes.
Por qué el router inicia el túnel
El cajero se conecta al router del emplazamiento mediante Ethernet. El router actúa como cliente OpenVPN e inicia una conexión con un servidor OpenVPN accesible en el centro de datos. Los sistemas de procesamiento de transacciones están detrás de ese servidor.
Esta dirección de conexión es útil en redes celulares, donde el operador puede situar la SIM detrás de una traducción de direcciones y restringir las conexiones entrantes. Este diseño no requiere una dirección pública accesible desde el exterior en el emplazamiento. Necesita una ruta de salida hacia la dirección y el puerto configurados del servidor.
Cuando cambia la WAN, también puede cambiar la dirección externa del router. Su certificado de cliente sigue identificándolo ante el servidor. Una dirección de túnel fija, asignada mediante la configuración del servidor para cada cliente, puede mantener coherentes el direccionamiento del emplazamiento y las reglas del cortafuegos entre reconexiones.
El manual de OpenVPN describe los mecanismos que ayudan al cliente a recuperarse:
Los ajustes de keepalive y reinicio detectan un extremo que ha dejado de responder y activan la reconexión tras el tiempo de espera configurado.
Los ajustes persist pueden conservar la interfaz del túnel durante los reinicios compatibles. No mantienen el flujo de paquetes cuando la conexión subyacente no está disponible.
Los reintentos de resolución de nombres permiten que el cliente siga intentándolo mientras se recupera el acceso a la red.
Varias entradas `remote` proporcionan puntos de conexión alternativos del servidor si el primero no es accesible.
Los ajustes disponibles dependen del firmware del router y de la configuración del servidor. Su objetivo es que la recuperación sea lo bastante predecible para poder probarla en el emplazamiento real.
Separar la ruta del cajero del resto del tráfico
Un cajero puede compartir su router con una central de alarma, cámaras, señalización digital, un terminal de punto de venta o el Wi-Fi del personal. La recuperación de la WAN no debe dar acceso a todos esos dispositivos a la red de procesamiento.
Sitúe el cajero en su propia VLAN y subred y defina después a qué destinos puede acceder esa subred. Las VLAN separan los segmentos de red; las reglas de enrutamiento y cortafuegos controlan el acceso entre ellos. La subred del cajero puede dirigirse por OpenVPN a los hosts y puertos de procesamiento necesarios. Los demás dispositivos pueden utilizar una salida local a Internet, un túnel independiente o una ruta restringida según su función.
Asigne a cada emplazamiento una subred de cajeros distinta dentro de un rango de direcciones planificado. Así, el centro de datos tendrá una ruta de retorno inequívoca hacia cada emplazamiento y los registros podrán distinguir las ubicaciones. Las entradas de ruta por cliente en el servidor OpenVPN, junto con las rutas del sistema y las reglas de cortafuegos necesarias, conectan esas subredes con los clientes correctos.
Esta separación importa tanto durante el funcionamiento normal como durante la conmutación. Un grabador de vídeo no debe obtener acceso al cajero simplemente porque ambos dispositivos utilicen el mismo enlace de subida.
Proteger las transacciones cuando el enlace de respaldo está ocupado
La subida de vídeo puede continuar cuando el emplazamiento pasa a la red celular. Los mensajes pequeños y sensibles al tiempo del cajero compiten ahora con transferencias voluminosas en el enlace de subida disponible.
La QoS permite al router dar prioridad a esos mensajes allí donde controla la cola. Clasifique el tráfico del cajero por su VLAN o subred antes de cifrarlo y aplique después la prioridad adecuada en la WAN. Una vez cifrado el tráfico, los paquetes externos ya no muestran los mismos detalles de la aplicación.
OpenVPN puede copiar el marcado de tipo de servicio del paquete interno al externo. Esto conserva el marcado para el siguiente tramo de la ruta, pero no determina cómo lo tratará el operador. Realice las pruebas con el tráfico de fondo que realmente genera el emplazamiento, en lugar de utilizar una conexión sin otra actividad.
El tamaño de los paquetes también merece atención. La encapsulación VPN añade sobrecarga y una ruta celular puede comportarse de forma diferente a la ruta por cable. Si los intercambios pequeños funcionan pero las transferencias mayores se detienen, investigue la MTU de la ruta y los ajustes adecuados de MTU o TCP MSS. Un ping satisfactorio es solo una parte de esa comprobación.
Preparar los ajustes de recuperación antes del despliegue
Una configuración útil es la que vuelve a conectarse correctamente después de un fallo. Esta breve lista reúne los ajustes del cliente y del servidor sin suponer que todos los firmwares los presentan de la misma manera.
Ajuste | Qué definir |
|---|---|
Dirección o direcciones del servidor y puerto | Un punto de conexión del servidor accesible y otro de respaldo si el despliegue lo requiere. |
Transporte (UDP o TCP) | Un transporte que coincida con el servicio de escucha del servidor y que esté permitido por la red del emplazamiento. Cuando proceda, TCP en el puerto 443 es una alternativa que se puede probar. |
Certificado de la CA, certificado de cliente y clave | Una identidad independiente para cada router, con su clave privada protegida y un mecanismo para revocar el certificado. |
Verificación del certificado del servidor | La comprobación de que el cliente se conecta al servidor previsto, incluido el rol esperado del certificado del servidor. |
Rutas | Rutas hacia las redes de procesamiento necesarias y rutas de retorno hacia la subred de cajeros de cada emplazamiento. |
Opciones keepalive y persist | Detección de fallos, comportamiento de reinicio y gestión de la interfaz durante la reconexión. |
MTU / MSS | Tamaños de paquete que funcionen tanto en la ruta por cable como en la celular. |
Transmisión del marcado ToS | Si es necesario trasladar el marcado del tráfico interno a los paquetes externos del túnel. |
En el servidor, mantenga coherentes la dirección del túnel de cada cliente, la subred del emplazamiento, las entradas de ruta y la política del cortafuegos. Un certificado propio para cada router permite al administrador retirar el acceso de un emplazamiento sin sustituir las credenciales de toda la flota.
Probar un emplazamiento antes de copiar la configuración
El piloto más útil es una versión reducida del despliegue: un router de referencia, las SIM previstas, acceso al servidor y tráfico de aplicación representativo.
Preparar el centro de datos. Configure la CA, el certificado del servidor, la configuración por cliente y las reglas del cortafuegos. Incluya un segundo punto de conexión si forma parte del diseño.
Configurar el emplazamiento de referencia. Defina sus VLAN, rutas, QoS y perfil OpenVPN; después, establezca el orden de conmutación previsto: WAN por cable, SIM 1 y SIM 2.
Probar cada fallo. Ejecute una transacción de prueba autorizada, desconecte el enlace por cable, cambie entre las SIM y repita la prueba de la aplicación después de cada cambio. Observe por separado la WAN, el túnel y la aplicación, también con tráfico de fondo.
Replicar con valores únicos por emplazamiento. Mantenga los ajustes comunes, pero asigne a cada router su propio certificado, clave, subred de cajeros y dirección de túnel.
Etiquetar y poner en servicio los equipos. Compruebe la alimentación, Ethernet, la WAN por cable cuando se utilice y las antenas. Verifique la conexión en el emplazamiento instalado en lugar de confiar únicamente en el resultado del banco de pruebas.
Así se obtiene una respuesta práctica a la pregunta inicial del artículo: tras el fallo de un enlace, ¿qué parte se recupera primero, cuál tarda más y cuándo puede el cajero volver a completar una transacción?
Elegir la conexión celular según la ubicación
La tecnología celular es una decisión dentro de este diseño. La cobertura y la conexión que realmente se puede utilizar en el lugar de instalación importan más que elegir una generación de forma aislada.
Para esta aplicación, el WR565 de Wavetel ofrece conectividad LTE-A Cat 6, mientras que el WR575 añade 5G. Ambos admiten OpenVPN, Gigabit Ethernet, doble SIM y conmutación WAN del enlace por cable al celular. Confirme las interfaces y opciones de configuración necesarias para el modelo y el firmware utilizados en el proyecto.
Elija entre ellos según la cobertura de los operadores en el emplazamiento y los requisitos del despliegue, y después pruebe la ruta completa. El mismo criterio se aplica al comparar routers celulares industriales: el resultado relevante es recuperar la comunicación de la aplicación a través de la conexión de respaldo prevista.
Para revisar un despliegue, contacte con Wavetel e indique las conexiones de operador propuestas, la red del emplazamiento y el punto de conexión del centro de datos.
Preguntas frecuentes
La VPN vuelve a estar conectada. ¿Por qué puede seguir fallando una transacción?
Un túnel conectado solo confirma una parte de la ruta. Compruebe la ruta hacia el host de procesamiento, la ruta de retorno, los permisos del cortafuegos y el estado de conexión de la aplicación. Utilice una prueba de aplicación autorizada para confirmar la recuperación, en lugar de considerar suficiente el estado de la VPN.
¿Cambiar de operador requiere otro certificado de cliente?
Cambiar la ruta WAN normalmente no requiere un nuevo certificado de cliente. El certificado identifica al router con independencia de su dirección externa actual. La nueva ruta debe seguir llegando a un servidor que confíe en ese certificado.
¿Puede un emplazamiento funcionar solo con conexión celular?
Sí, este diseño puede utilizar la red celular como WAN principal cuando no hay conexión por cable. Pruebe los operadores previstos en el lugar de instalación y verifique cómo se recuperan el túnel y la aplicación cuando cambia la SIM activa.
¿Una segunda SIM proporciona un segundo servidor VPN?
No. Proporciona otra vía de acceso celular. Un punto de conexión VPN de respaldo es una parte independiente del diseño del centro de datos y debe configurarse en el cliente, por ejemplo mediante entradas remote adicionales.
Referencias
Manual de OpenVPN 2.6 — remote, keepalive, ping-restart, persist-tun, client-config-dir, iroute, remote-cert-tls y passtos.
