Twee LAN's op NetBird: watter portuurs roeteer, en wie mag praat

'n Werkstasie op die westelike LAN maak 'n blaaier oop, tik die adres van 'n toepassing op die oostelike LAN en wag tot dit tyd uit. Elke NetBird-skerm sê die portuurs is verbind, wat waar is en langs die punt: om in een oorlegnetwerk te wees is nie dieselfde as om die twee plaaslike subnetwerke in een netwerk te hê nie. Die wandeling hieronder begin by daardie werkstasie en eindig met 'n versoek wat die ontwerp doelbewus weier, en elke stop is iets wat jy van 'n toestel kan aflees eerder as aflei. Verwag dat die ontbrekende stuk 'n roete of 'n beleid is, nie die oorleg nie.

Lees die fout eerste by die werkstasie

Voordat jy die bestuurkonsol oopmaak, stel vas wat die werkstasie werklik stuur. Sy eie roetertabel besluit of die pakkie na die perseel se poort, na 'n plaaslike koppelvlak of nêrens gaan, en daardie besluit is sigbaar sonder enige oorleg-gereedskap. 'n Masjien sonder 'n roete vir die verre voorvoegsel sal misluk maak nie saak hoe gesond die portuurlys lyk nie. Die oorleg-reeks en die perseel se eie voorvoegsel is verskillende adresruimtes, en aansluiting het net een van hulle opgestel.

Skei naamoplossing volgende van bereikbaarheid, want 'n blaaier rapporteer albei as dieselfde tyduit. Herhaal die versoek per adres vanaf 'n masjien wat die NetBird-kliënt het, en dan vanaf 'n gewone werkstasie wat dit nie het nie. As die aangeslote masjien slaag en die gewone een misluk, sit die gaping in plaaslike roetering; as albei misluk, lees verder voordat jy 'n roete verander.

Kies een roeteringsportuur per perseel

'n Roeteringsportuur is 'n gasheer wat vir sy LAN op die oorleg instaan, so kies 'n Linux-masjien met stabiele bereikbaarheid na die subnet eerder as iemand se lessenaarwerkstasie. Sluit dit deur die normale proses aan en plaas dit in 'n groep wat vir die rol genoem is, want die netwerkbron en die beleid sal albei na daardie groep verwys. Een verteenwoordiger per perseel bly leesbaar; 'n vloot vrywilligers wat dieselfde voorvoegsel adverteer maak elke latere vraag 'n ontfoutingsessie. Die portuur se adres op die plaaslike segment maak net so saak soos sy oorleg-identiteit, want daardie adres word die volgende sprong wat elke gewone toestel gebruik.

Skryf die plan neer voordat jy die konsol aanraak, want name en voorvoegsels is waar hierdie ontwerpe afdwaal: voorvoegsel, poort, portuuradres en groep, per perseel. Wes is 10.52.0.0/24 bedien deur 10.52.0.5 en oos is 10.63.0.0/24 bedien deur 10.63.0.5, met west-routers en east-routers as die twee groepe, en geen van die voorvoegsels mag die ander, die oorleg-reeks of 'n ander geroeteerde bestemming oorvleuel nie.

Skep die bron, hou vermomming aan

In die ontplooide paneelbord, skep een netwerkbron per perseel en heg daardie perseel se roeteringsportuurgroep daaraan. Die bron is die voorvoegsel en die groep is die gasheer wat daarvoor antwoord, en albei moet bestaan voordat enigiets geadverteer word. Bevestig dat die ontplooide self-gehoste weergawe die Netwerke-werkvloei hoegenaamd het, want 'n ouer koppelvlak met 'n soortgelyk genoemde roete-objek is 'n ander funksie.

Los vermomming aangeskakel. Die NetBird-gids vir werf-tot-werf vereis dit vir hierdie reëling, en om dit af te skakel om elke oorspronklike adres sigbaar te hou is nie dieselfde ontwerp met een sprong minder nie; dit verander wat die oorleg se bronkontroles en beleide sien. Die gevolg is die moeite werd om reguit te sê: die ontvangende diens teken die roeteringsportuur as die bron aan, nie die individuele werkstasie nie. As daardie diens se toelaatlys of oudit werkstasie-adresse verwag, verander óf die verwagting óf die identiteit moet by die perseelgrens afgedwing word voordat vertaling plaasvind.

Magtig die inisieerders, nie die voorvoegsels nie

'n Roete maak 'n adres bereikbaar en 'n beleid besluit wie dit mag gebruik; die twee is aparte objekte met aparte eienaars. Skryf die beleid van die werklading terug: watter groep inisieer, watter bron dit teiken en watter TCP-diens dit nodig het. 'n Netwerk wat albei voorvoegsels aan elke aangeslote portuur adverteer het bereikbaarheid geskep en niks besleg nie.

Lees dan wat anders reeds toegelaat word, want 'n noue nuwe reël herroep nie 'n breë ou een wat bo dit sit nie. Wanneer oos ook verbindings na wes moet begin, skryf daardie rigting as sy eie beleid; terugkeerverkeer vir 'n sessie wat wes geopen het is 'n ander vraag as om nuwe sessies ooswaarts toe te laat. As slegs sommige westelike werkstasies die oostelike toepassing moet bereik, kies hulle by die perseelgrens voordat vertaling plaasvind en hou die toepassing se eie verifikasie in plek. Die roeteringsportuur dra LAN-verkeer as die hele perseel eerder as as 'n per-gebruiker oorleg-identiteit, so per-gebruiker boekhouding moet van elders kom.

Leer elke poort die volgende sprong, en toets dan 'n weiering

Die gewone toestelle sien nooit die oorleg nie, so hulle eie poort het 'n statiese roete nodig wat die verre voorvoegsel na die roeteringsportuur se LAN-adres wys. Dit is die stap wat mense oorslaan, want alles sigbaar binne NetBird werk reeds terwyl gewone werkstasies nog tyd uit. Die poort hou sy verstekroete soos dit was; hierdie voorvoegsel is 'n byvoeging, nie 'n vervanging nie.

Die twee roetebeskrywings hoort in elke perseel se eie poortkonfigurasie, nie in 'n gasheer-oorheersing nie. Albei is gewone statiese roetes, en nie een raak die verstekroete nie:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Toets met die toepassing wat die projek werklik nodig het, vanaf 'n gewone werkstasie, en teken drie dinge aan: die volgende sprong wat aan die stuurkant gekies is, die beleid wat gepas het en die bronadres wat die diens gelog het. Toets ook 'n weiering, want 'n ontwerp wat nog nooit iets geweier het nie het onbekende rande, en die weiering is die enigste bewys dat beleid eerder as roetering die werk doen. Wanneer oos ook moet inisieer, begin 'n nuwe verbinding vanaf daardie kant eerder as om te aanvaar die tweede rigting volg. Beplan ook die roeteringsportuur se herbegin, opgradering en vervanging, want een gasheer het 'n perseelafhanklikheid geword.

Privaat name het hulle eie oplosser-ontwerp nodig, want bereikbaarheid skep nie DNS-rekords nie en 'n werkende IP-pad met 'n gebroke naam lees presies soos 'n gebroke pad. As 'n roeteringsportuur in 'n wolkenetwerk loop, hersien ook die verskaffer se deurstuur- en brandmuurreëls, want aansluiting oorheers hulle nie. Hou die waarnemings van die toets langs die plan, want die volgende persoon wat dit ontfout sal die gepasde beleid en die aangetekende bronadres wil hê, nie 'n beskrywing van die topologie nie.