Geldautomaten über OpenVPN: Was passiert bei einem WAN-Ausfall?

Ein Geldautomat kann wieder Zugang zum Internet haben, bevor er die nächste Transaktion verarbeiten kann. Fällt die kabelgebundene Verbindung aus, stellt der Wechsel auf Mobilfunk den zugrunde liegenden Netzwerkpfad wieder her. Der OpenVPN-Tunnel muss sich anschließend erneut verbinden, und die Transaktionsanwendung muss ihren Betrieb wieder aufnehmen.

Diese Abfolge zeigt, warum WAN-Failover, VPN-Wiederherstellung und die Wiederaufnahme der Anwendung gemeinsam betrachtet werden müssen. Dieser Artikel verfolgt den Weg von einem entfernten Geldautomaten zu den Verarbeitungssystemen im Rechenzentrum und erläutert auch, was passiert, wenn Kameras oder andere Geräte am Standort dieselbe Verbindung nutzen.

Die kabelgebundene Verbindung fällt aus. Was passiert als Nächstes?

Betrachten wir einen Standort, an dem ein Geldautomat und ein Videorekorder eine kabelgebundene Internetverbindung gemeinsam nutzen. Der Geldautomat hat ein eigenes Netzwerksegment, während der Rekorder im Hintergrund Aufnahmen hochlädt. Im Router befinden sich außerdem zwei SIM-Karten verschiedener Mobilfunkanbieter.

Fällt die kabelgebundene Verbindung aus, erkennt der Router den Ausfall und wechselt zur ersten Mobilfunkverbindung. Damit steht ein anderer Zugang zum Internet bereit. Allein daraus folgt jedoch nicht, dass der Geldautomat das Transaktionsverarbeitungssystem erreichen kann.

Der OpenVPN-Client muss seinen Tunnel über den neuen Pfad aufbauen. Der Server authentifiziert den Router, und die konfigurierten Routen leiten den Datenverkehr des Geldautomaten zu den dahinterliegenden Verarbeitungssystemen. Anschließend kann die Anwendung den nächsten Datenaustausch versuchen. Wie schnell dieser gelingt, hängt von der Wiederherstellung des Netzwerks und vom Verhalten der Anwendung selbst ab.

Ist später auch der erste Mobilfunkanbieter nicht mehr erreichbar, beginnt mit dem Wechsel auf die zweite SIM-Karte eine weitere Wiederherstellungssequenz. Ein zweiter Anbieter bietet einen alternativen Pfad, sofern sein Dienst verfügbar ist; die Umschaltung muss trotzdem getestet werden. An Standorten ohne Festnetzanschluss gilt dieselbe Überlegung für Mobilfunk als primäre Verbindung.

Bei der Untersuchung einer Störung hilft diese Unterscheidung: Ein aktives WAN, ein verbundenes VPN und eine erfolgreiche Transaktion sind drei unterschiedliche Beobachtungen.

Warum der Router den Tunnel aufbaut

Der Geldautomat ist über Ethernet mit dem Router am Standort verbunden. Dieser arbeitet als OpenVPN-Client und initiiert eine Verbindung zu einem erreichbaren OpenVPN-Server im Rechenzentrum. Die Systeme zur Transaktionsverarbeitung befinden sich hinter diesem Server.

Diese Verbindungsrichtung ist in Mobilfunknetzen hilfreich, da ein Anbieter die SIM-Karte hinter einer Adressübersetzung betreiben und eingehende Verbindungen beschränken kann. Für dieses Konzept benötigt der Standort keine öffentlich erreichbare Adresse für eingehende Verbindungen. Er benötigt einen ausgehenden Pfad zur konfigurierten Adresse und zum Port des Servers.

Beim Wechsel des WAN-Pfads kann sich auch die externe Adresse des Routers ändern. Sein Client-Zertifikat identifiziert ihn weiterhin gegenüber dem Server. Eine feste Tunneladresse, die über die clientspezifische Serverkonfiguration zugewiesen wird, kann die Adressierung des Standorts und die Firewall-Regeln über erneute Verbindungsaufbauten hinweg konsistent halten.

Das OpenVPN-Handbuch beschreibt die Funktionen, die dem Client bei der Wiederherstellung helfen:

• Keepalive- und Neustarteinstellungen erkennen eine Gegenstelle, die nicht mehr antwortet, und lösen nach dem konfigurierten Zeitlimit einen erneuten Verbindungsaufbau aus.

• Persist-Einstellungen können die Tunnelschnittstelle bei unterstützten Neustarts erhalten. Sie halten den Paketfluss nicht aufrecht, wenn die zugrunde liegende Verbindung nicht verfügbar ist.

• Wiederholte Namensauflösung ermöglicht dem Client weitere Versuche, während der Netzwerkzugang zurückkehrt.

• Mehrere `remote`-Einträge stellen alternative Serverendpunkte bereit, wenn der erste nicht erreichbar ist.

Welche Einstellungen verfügbar sind, hängt von der Router-Firmware und der Serverkonfiguration ab. Sie sollen die Wiederherstellung so vorhersehbar machen, dass sie am tatsächlichen Standort geprüft werden kann.

Den Pfad des Geldautomaten von anderem Standortverkehr trennen

Ein Geldautomat kann seinen Router mit einer Alarmanlage, Kameras, Digital Signage, einem Kassenterminal oder dem WLAN für Mitarbeitende teilen. Die Wiederherstellung des WAN darf nicht allen diesen Geräten Zugang zum Verarbeitungsnetz geben.

Ordnen Sie den Geldautomaten einem eigenen VLAN und Subnetz zu und legen Sie anschließend fest, welche Ziele dieses Subnetz erreichen darf. VLANs trennen Netzwerksegmente; Routing- und Firewall-Regeln setzen den Zugriff zwischen ihnen durch. Das Subnetz des Geldautomaten kann über OpenVPN zu den erforderlichen Verarbeitungshosts und Ports geroutet werden. Andere Geräte können je nach Aufgabe einen lokalen Internetzugang, einen separaten Tunnel oder einen eingeschränkten Pfad nutzen.

Weisen Sie jedem Standort ein eigenes Geldautomaten-Subnetz aus einem geplanten Adressbereich zu. So hat das Rechenzentrum einen eindeutigen Rückweg zu jedem Standort, und Protokolle können die Standorte unterscheiden. Clientspezifische Routeneinträge auf dem OpenVPN-Server verbinden diese Subnetze zusammen mit den erforderlichen Systemrouten und Firewall-Regeln mit den richtigen Clients.

Diese Trennung ist im Normalbetrieb ebenso wichtig wie beim Failover. Ein Videorekorder darf nicht allein deshalb Zugriff auf den Geldautomaten erhalten, weil beide Geräte denselben Uplink nutzen.

Transaktionsverkehr bei ausgelasteter Ersatzverbindung schützen

Wenn der Standort auf Mobilfunk wechselt, kann der Kamera-Upload weiterhin laufen. Die kleinen, zeitkritischen Nachrichten des Geldautomaten konkurrieren nun mit großen Datenübertragungen um den verfügbaren Uplink.

Mit QoS kann der Router diese Nachrichten dort priorisieren, wo er die Warteschlange kontrolliert. Klassifizieren Sie den Geldautomatenverkehr vor der Verschlüsselung anhand seines VLANs oder Subnetzes und wenden Sie dann die passende Priorität am WAN an. Nach der Verschlüsselung sind dieselben Anwendungsdetails in den äußeren Paketen nicht mehr sichtbar.

OpenVPN kann die Type-of-Service-Markierung des inneren Pakets in das äußere Paket übernehmen. Dadurch bleibt die Markierung für den nächsten Abschnitt des Pfads erhalten; wie ein Mobilfunkanbieter damit umgeht, ist damit nicht festgelegt. Testen Sie mit dem Hintergrundverkehr, der am Standort tatsächlich entsteht, statt nur mit einer ansonsten ungenutzten Verbindung.

Auch die Paketgröße verdient Aufmerksamkeit. Die VPN-Kapselung erzeugt zusätzlichen Overhead, und ein Mobilfunkpfad kann sich anders verhalten als die kabelgebundene Verbindung. Funktionieren kleine Datenaustausche, während größere Übertragungen stocken, untersuchen Sie die Pfad-MTU und die passenden MTU- oder TCP-MSS-Einstellungen. Ein erfolgreicher Ping ist nur ein Teil dieser Prüfung.

Wiederherstellungseinstellungen vor der Bereitstellung vorbereiten

Eine sinnvolle Konfiguration stellt die Verbindung nach einem Ausfall korrekt wieder her. Diese kurze Checkliste führt Client- und Servereinstellungen zusammen, ohne vorauszusetzen, dass jede Firmware sie auf dieselbe Weise bereitstellt.

Einstellung	Was festzulegen ist
Serveradresse(n) und Port	Ein erreichbarer Serverendpunkt sowie ein Ersatzendpunkt, falls die Bereitstellung einen solchen erfordert.
Transport (UDP oder TCP)	Ein Transportprotokoll, das zum Server-Listener passt und im Standortnetz zugelassen ist. Gegebenenfalls kann TCP über Port 443 als Alternative getestet werden.
CA-Zertifikat, Client-Zertifikat und Schlüssel	Eine eigene Identität für jeden Router, ein geschützter privater Schlüssel und eine Möglichkeit, das Zertifikat zu widerrufen.
Prüfung des Serverzertifikats	Die Prüfung, dass sich der Client mit dem vorgesehenen Server verbindet, einschließlich der erwarteten Rolle des Serverzertifikats.
Routen	Pfade zu den erforderlichen Verarbeitungsnetzen und Rückwege zum Geldautomaten-Subnetz jedes Standorts.
Keepalive- und Persist-Optionen	Ausfallerkennung, Neustartverhalten und Behandlung der Schnittstelle beim erneuten Verbindungsaufbau.
MTU / MSS	Paketgrößen, die sowohl auf dem kabelgebundenen als auch auf dem Mobilfunkpfad funktionieren.
ToS-Weitergabe	Ob Markierungen des inneren Datenverkehrs in die äußeren Tunnelpakete übernommen werden müssen.

Halten Sie auf dem Server die clientspezifische Tunneladresse, das Standortsubnetz, die Routeneinträge und die Firewall-Richtlinien konsistent. Mit einem eigenen Zertifikat pro Router kann ein Administrator den Zugang eines einzelnen Standorts entziehen, ohne die Zugangsdaten der gesamten Flotte auszutauschen.

Einen Standort testen, bevor die Konfiguration vervielfältigt wird

Ein aussagekräftiger Pilot bildet die Bereitstellung im Kleinen ab: ein Referenzrouter, die vorgesehenen SIM-Karten, Zugang zum Server und repräsentativer Anwendungsverkehr.

1. Das Rechenzentrum vorbereiten. Richten Sie die CA, das Serverzertifikat, die clientspezifische Konfiguration und die Firewall-Regeln ein. Berücksichtigen Sie einen zweiten Endpunkt, wenn das Konzept ihn vorsieht.

2. Den Referenzstandort konfigurieren. Richten Sie VLANs, Routen, QoS und das OpenVPN-Profil ein und legen Sie die gewünschte Failover-Reihenfolge fest: kabelgebundenes WAN, SIM 1 und SIM 2.

3. Jeden Ausfallfall testen. Führen Sie eine autorisierte Testtransaktion durch, trennen Sie die kabelgebundene Verbindung, wechseln Sie zwischen den SIM-Karten und wiederholen Sie den Anwendungstest nach jeder Änderung. Beobachten Sie WAN, Tunnel und Anwendung getrennt, auch bei Hintergrundlast.

4. Mit eindeutigen Standortwerten vervielfältigen. Behalten Sie die gemeinsamen Einstellungen bei, weisen Sie aber jedem Router ein eigenes Zertifikat, einen eigenen Schlüssel, ein eigenes Geldautomaten-Subnetz und eine eigene Tunneladresse zu.

5. Die Geräte kennzeichnen und in Betrieb nehmen. Prüfen Sie Stromversorgung, Ethernet, gegebenenfalls das kabelgebundene WAN und die Antennen. Kontrollieren Sie die Verbindung am installierten Standort, statt sich allein auf den Prüfstand zu verlassen.

So entsteht eine praktische Antwort auf die Ausgangsfrage des Artikels: Welcher Teil erholt sich nach einem Verbindungsausfall zuerst, welcher benötigt mehr Zeit, und wann kann der Geldautomat wieder eine Transaktion abschließen?

Die Mobilfunkverbindung passend zum Standort wählen

Die Mobilfunktechnologie ist eine Entscheidung innerhalb dieses Konzepts. Netzabdeckung und die tatsächlich nutzbare Verbindung am Installationsort sind wichtiger als die isolierte Wahl einer Mobilfunkgeneration.

Für diese Anwendung bietet Wavetels WR565 LTE-A Cat 6, während der WR575 zusätzlich 5G bietet. Beide unterstützen OpenVPN, Gigabit Ethernet, zwei SIM-Karten und WAN-Failover von der kabelgebundenen Verbindung auf Mobilfunk. Prüfen Sie die erforderlichen Schnittstellen und Konfigurationsmöglichkeiten anhand des im Projekt eingesetzten Modells und seiner Firmware.

Treffen Sie die Wahl anhand der Netzabdeckung am Standort und der Bereitstellungsanforderungen und testen Sie anschließend den gesamten Pfad. Dasselbe gilt beim Vergleich industrieller Mobilfunkrouter: Entscheidend ist die wiederhergestellte Anwendungskommunikation über die vorgesehene Ersatzverbindung.

Für eine Prüfung Ihres Bereitstellungskonzepts kontaktieren Sie Wavetel mit Angaben zu den vorgesehenen Mobilfunkverbindungen, zum Standortnetz und zum Endpunkt im Rechenzentrum.

Häufige Fragen

Das VPN ist wieder verbunden. Warum kann eine Transaktion am Geldautomaten trotzdem fehlschlagen?

Ein verbundener Tunnel bestätigt nur einen Teil des Pfads. Prüfen Sie die Route zum Verarbeitungshost, den Rückweg, die Firewall-Freigaben und den Verbindungsstatus der Anwendung. Bestätigen Sie die Wiederherstellung mit einem autorisierten Anwendungstest, statt allein den VPN-Status als Ergebnis zu betrachten.

Ist beim Wechsel des Mobilfunkanbieters ein anderes Client-Zertifikat erforderlich?

Ein Wechsel des WAN-Pfads erfordert normalerweise kein neues Client-Zertifikat. Das Zertifikat identifiziert den Router unabhängig von seiner aktuellen externen Adresse. Der neue Pfad muss weiterhin einen Server erreichen können, der diesem Zertifikat vertraut.

Kann ein Standort vollständig über Mobilfunk betrieben werden?

Ja, dieses Konzept kann Mobilfunk als primäres WAN nutzen, wenn keine kabelgebundene Verbindung verfügbar ist. Testen Sie die vorgesehenen Anbieter am Installationsort und prüfen Sie, wie sich Tunnel und Anwendung nach dem Wechsel der aktiven SIM-Karte wiederherstellen.

Stellt eine zweite SIM-Karte einen zweiten VPN-Server bereit?

Nein. Sie bietet einen weiteren Mobilfunkzugang. Ein Ersatz-VPN-Endpunkt ist ein separater Bestandteil des Rechenzentrumskonzepts und muss im Client konfiguriert werden, beispielsweise durch zusätzliche remote-Einträge.

Quellen

1. OpenVPN-2.6-Handbuch — remote, keepalive, ping-restart, persist-tun, client-config-dir, iroute, remote-cert-tls und passtos.