VPN موجّه مقابل LAN موصول بجسر لرابط بين الفرع والمختبر

هناك طريقتان لجعل فرع يصل إلى مختبر منزلي، والفرق ليس إعدادًا. يمكنك التوجيه بين بادئات منفصلة، بحيث يحتفظ كل موقع بنطاق البث الخاص به، أو يمكنك وصل الشبكتين المحليتين بجسر إلى شبكة واحدة، بحيث تتصرف عمليات البث وحركة الاكتشاف كما لو كان الجميع في الغرفة نفسها. التوجيه هو التصميم الذي يصمد عند التلامس مع شبكة حقيقية. الجسر هو التصميم الذي يجعل الأسبوع الأول سهلاً والانقطاع الأول مثيرًا للاهتمام. المقارنة أدناه تدور حول ما يقدمه كل منهما وما يكلفه، ثم حول كيف تجعل النسخة الموجّهة قابلة للاختبار.

طريقتان للاتصال، ومقايضة واحدة واضحة

يعامل الرابط الموجّه المختبر المنزلي كشبكة بعيدة بعنونتها الخاصة. يطلب الفرع بادئة المختبر، وينقل النفق تلك الحزم، ويجيب بوابة المختبر من شبكته الفرعية. لا يتغير شيء في جدول ARP الخاص بالفرع، ولا يصل شيء من نطاق DHCP في المختبر إلى الفرع.

يمدّ الرابط المجسور نطاقًا واحدًا من الطبقة 2 عبر الموقعين. تعمل بروتوكولات الاكتشاف، وتظهر الأجهزة تلقائيًا، وكل بث وكل طلب ARP وكل حزمة multicast أصبحت الآن مرشحة لعبور النفق، أي كمية كبيرة من حركة المرور تحملها بروتوكولات صُممت لقطاع محلي لا لشبكة WAN ذات MTU مختلف وزمن ذهاب وإياب متغير.

ما يمنحك إياه التوجيه

الفائدة الأولى هي نطاق الضرر. تبقى الحلقة أو خادم DHCP غير المرغوب فيه أو طوفان البث داخل الموقع الذي أنتجها، لأن الموجّه لا يمرر عمليات البث. الثانية هي وضوح العنونة: بادئة الفرع وبادئة المختبر منفصلتان، لذا يخبرك عنوان وجهة الحزمة أي موقع ينبغي أن يجيب، ويمكن لقاعدة جدار حماية أن تقول «من الفرع إلى الشبكة الفرعية للمختبر» بدلًا من «من أي مكان إلى أي مكان».

الثالثة هي أنه يطابق ما ينقله النفق فعلًا. سياسة IPsec هي زوج من البادئات، ومسار التمرير على كل جانب هو توجيه IP عادي مع تمكين التمرير على البوابة:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

ما تتخلى عنه هو الاكتشاف عبر البث. هذه خسارة حقيقية، وينبغي استبدالها عن قصد بدلًا من التحايل عليها بجسر كل شيء.

ما يكلفه الجسر

على الجسر أن ينقل إطارات الطبقة 2 عبر نفق، وهذا يعني تغليفًا مثل GRE أو VXLAN فوق IPsec بدلًا من نفق بسيط قائم على السياسة. وبمجرد وجود ذلك، يتقاسم الموقعان نطاق فشل واحد. يرى Spanning tree النفق كرابط، وتستهلك حركة البث عرض النطاق للنفق، وأي جهاز يفترض قطاعًا منخفض الكمون يتصرف بشكل خاطئ بطرق يصعب نسبتها من أي من الطرفين.

يزيل أيضًا فحص العنونة الذي يبقيك صادقًا. مع بادئة مسطحة واحدة، العنوان المكرر ليس خطأ توجيه بل مضيفان يسرقان حركة بعضهما بهدوء، والبادئات المتداخلة بين فرع ومختبر شائعة في تجهيزات المختبر المنزلي، لذا لا يحل الجسر ذلك التعارض؛ بل يوزعه.

حجة الأمان هي التي تحسم عادة. يمدّ الجسر القطاع الذي تعمل عليه بروتوكولات الارتباط المحلي، فيمكن لجهاز في الفرع أن يتحدث مع أجهزة مختبر لم يكن المقصود أبدًا أن تكون قابلة للوصول من الخارج. إذا كان في المختبر hypervisor ووحدة تحكم تخزين وواجهة إدارة على الشبكة المسطحة نفسها، فذلك الآن قطاع واحد مع الفرع أيضًا.

أسماء بدون بث

سبب قيام الناس بالجسر هو الاكتشاف عادة: طابعة أو جهاز وسائط أو مضيف مختبر لا يظهر أبدًا في قائمة. الجواب الموجّه هو خدمة أسماء. انشر مضيفات المختبر في منطقة يستطيع محلل الفرع الوصول إليها، ثم دع المستخدمين يتصلون بالاسم بدلًا من مسح الشبكة. هذا عمل أكثر في البداية وأقل بكثير في كل تغيير مستقبلي.

اكتشاف multicast هو الحالة الأصعب، وهو يستحق الدقة. تستخدم بروتوكولات مثل mDNS بثًا متعددًا محليًا لا تمرره الموجّهات افتراضيًا، لذا قد يظل مضيف مختبر غائب عن قائمة الاكتشاف قابلًا للوصول على عنوانه الموثق. إذا كانت خدمة معينة تتطلب multicast فعلًا، فخطط لذلك البروتوكول وحده، بعاكس أو قاعدة تمرير موجهة، بدلًا من جسر الشبكة المحلية بأكملها كإصلاح عام.

العاكس أيضًا ليس فوزًا مجانيًا. إنه يستورد الحركة الكثيرة الكلام التي كنت تحاول تجنبها، خدمة واحدة في كل مرة، ويحتاج إلى مالك يلاحظ عندما يبدأ جهاز في الإعلان عن أكثر مما كان عليه. اختره لكل خدمة، واكتب السبب. سجّل أي خدمة احتاجته وما تعلن عنه، لأن تحديث البرنامج الثابت قد يغير تلك القائمة دون أن يخبر أحدًا.

اجعل التصميم الموجّه قابلًا للاختبار

اختر هدفًا واحدًا، مثل واجهة ويب للمختبر على شبكته الفرعية الخاصة بالخوادم، وأثبته في الاتجاهين. من مضيف في الفرع، أكّد العنوان والخدمة المستمعة محليًا، ثم اتصل عبر النفق وكرر. النفق القائم يثبت أن البوابات متفقة؛ لكنه لا يثبت شيئًا عن جدار حماية المضيف أو مسار العودة.

تحتاج بوابة المختبر العادية إلى مسار عودة إلى بادئة الفرع ما لم يكن التصميم يترجم المصدر عن قصد، ويجب أن يقبل جدار حماية الخادم نفسه النطاق البعيد المسموح. لا شيء من ذلك يُهيأ بنفق ناجح. تصف ملاحظات التمرير من strongSwan مسار الحزم الذي يجب أن يعمل على كل جانب.

ثم اختبر وجهة مرفوضة أيضًا. المستخدم في الفرع الذي يحتاج تطبيقًا واحدًا لا يحتاج وحدة تحكم hypervisor، والطريقة الوحيدة لمعرفة أن السياسة حقيقية هي تجربة الشيء الذي ينبغي أن ترفضه بالضبط. سجّل البادئات واعتماد الحل على المحلل ونتائج الاختبارات، وسيكون تغيير مستقبلي في أي من الموقعين قابلًا للمراجعة في دقائق بدلًا من إعادة بنائه من الذاكرة.