Filial ilə laboratoriya arasındakı əlaqə üçün marşrutlaşdırılmış VPN, yoxsa körpülənmiş LAN

Filialın ev laboratoriyasına çatmasının iki yolu var və fərq bir ayar deyil. Ayrı prefikslər arasında marşrutlaşdıra bilərsiniz, belə ki hər sahə öz yayım domenini saxlayır, ya da iki LAN-ı birinə körpüləyə bilərsiniz, belə ki yayımlar və kəşf trafiki hamı eyni otaqdaymış kimi davranır. Marşrutlaşdırma real şəbəkə ilə təmasa tab gətirən dizayndır. Körpüləmə ilk həftəni asan və ilk kəsintini maraqlı edən dizayndır. Aşağıdakı müqayisə hər birinin nə verdiyi və nəyə başa gəldiyi, sonra isə marşrutlaşdırılmış variantın necə sınaqdan keçirilə bilən ediləcəyi haqqındadır.

İki qoşulma yolu, bir aşkar güzəşt

Marşrutlaşdırılmış əlaqə ev laboratoriyasını öz ünvanlaması olan uzaq şəbəkə kimi qəbul edir. Filial laboratoriya prefiksini istəyir, tunel bu paketləri daşıyır və laboratoriya şlüzü öz alt şəbəkəsindən cavab verir. Filialın ARP cədvəlində heç nə dəyişmir və laboratoriyanın DHCP əhatəsindən heç nə filiala çatmır.

Körpülənmiş əlaqə bir 2-ci qat domenini iki sahəyə yayır. Kəşf protokolları işləyir, cihazlar avtomatik görünür və hər yayım, hər ARP sorğusu və hər multicast paketi artıq tuneldən keçmək üçün namizəddir, yəni yerli seqment üçün qurulmuş protokolların daşıdığı və fərqli MTU və dəyişkən gediş-gəliş vaxtı olan WAN üçün qurulmadığı böyük həcmdə trafikdir.

Marşrutlaşdırmanın sizə verdikləri

Birinci fayda zərərin radiusudur. Dövrə, arzuolunmaz DHCP serveri və ya yayım seli onu yaradan sahədə qalır, çünki marşrutlaşdırıcı yayımları ötürmür. İkincisi ünvanlama aydınlığıdır: filial prefiksi ilə laboratoriya prefiksi fərqlidir, buna görə paketin təyinatı hansı sahənin cavab verməli olduğunu bildirir və təhlükəsizlik divarı qaydası „hər yerdən hər yerə” əvəzinə „filialdan laboratoriya alt şəbəkəsinə” deyə bilər.

Üçüncüsü, tunelin həqiqətən daşıdığı şeyə uyğun olmasıdır. IPsec siyasəti bir prefiks cütüdür və hər tərəfdə ötürmə yolu şlüzdə ötürmə aktivləşdirilmiş adi IP marşrutlaşdırmasıdır:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Vaz keçdiyiniz şey yayım vasitəsilə kəşfdir. Bu real itkidir və hər şeyi körpüləməklə ondan yan keçmək əvəzinə qəsdən əvəz edilməlidir.

Körpüləmənin qiyməti

Körpüləmə 2-ci qat çərçivələrini tuneldən keçirməlidir, bu isə sadə siyasət əsaslı tunel əvəzinə IPsec üzərindən GRE və ya VXLAN kimi inkapsulyasiya deməkdir. Bu mövcud olduqdan sonra iki sahə bir nasazlıq domenini paylaşır. Spanning tree tuneli əlaqə kimi görür, yayım trafiki tunelin buraxılış qabiliyyətini sərf edir və aşağı gecikməli seqment fərz edən hər cihaz iki ucdan da əlaqələndirilməsi çətin olan şəkildə səhv davranır.

O, həm də sizi dürüst saxlayan ünvanlama yoxlamasını aradan qaldırır. Tək düz prefikslə təkrarlanan ünvan marşrutlaşdırma xətası deyil, bir-birinin trafikini səssizcə oğurlayan iki hostdur və filial ilə laboratoriya arasında üst-üstə düşən prefikslər ev laboratoriyası qurğularında geniş yayılmışdır, buna görə körpüləmə bu münaqişəni həll etmir; onu paylayır.

Adətən qərarı təhlükəsizlik arqumenti verir. Körpü link-local protokolların işlədiyi seqmenti genişlədir, buna görə filialdakı cihaz kənardan əlçatan olmamalı olan laboratoriya cihazları ilə danışa bilər. Laboratoriyada eyni düz şəbəkədə hipervizor, yaddaş konsolu və idarəetmə interfeysi varsa, bu artıq filialla birlikdə bir seqmentdir.

Yayım olmadan adlar

İnsanların körpüləməsinin səbəbi adətən kəşfdir: siyahıda heç vaxt görünməyən printer, media cihazı və ya laboratoriya hostu. Marşrutlaşdırılmış cavab ad xidmətidir. Laboratoriya hostlarını filialın həlledicisinin çata biləcəyi zonada dərc edin, sonra istifadəçilərin şəbəkəni skan etmək əvəzinə adla qoşulmasına icazə verin. Bu, əvvəldə daha çox iş və hər gələcək dəyişiklikdə xeyli az işdir.

Multicast kəşfi daha çətin haldır və dəqiqliyə layiqdir. mDNS kimi protokollar marşrutlaşdırıcıların standart olaraq ötürmədiyi link-local multicastdan istifadə edir, buna görə kəşf siyahısında olmayan laboratoriya hostu sənədləşdirilmiş ünvanında hələ də əlçatan ola bilər. Müəyyən xidmət həqiqətən multicast tələb edirsə, bütün LAN-ı ümumi təmir kimi körpüləmək əvəzinə o bir protokolu reflektor və ya hədəflənmiş ötürmə qaydası ilə planlaşdırın.

Reflektor da pulsuz qələbə deyil. Qaçmağa çalışdığınız həmin sözbaz trafiki bir-bir xidmət şəklində içəri gətirir və cihazın əvvəlkindən daha çox reklam etməyə başladığını görəcək sahibə ehtiyac duyur. Onu hər xidmət üzrə seçin və niyə olduğunu yazın. Hansı xidmətin ona ehtiyacı olduğunu və nəyi reklam etdiyini qeyd edin, çünki proqram təminatı yeniləməsi bu siyahını heç kimə demədən dəyişə bilər.

Marşrutlaşdırılmış dizaynı sınaqdan keçirilə bilən edin

Bir hədəf seçin, məsələn laboratoriyanın öz server alt şəbəkəsindəki veb interfeysini, və hər iki istiqamətdə sübut edin. Filialdakı bir hostdan ünvanı və dinləyən xidməti yerli olaraq təsdiqləyin, sonra tuneldən qoşulun və təkrarlayın. Ayaqda olan tunel şlüzlərin razılaşdığını sübut edir; hostun təhlükəsizlik divarı və ya geri dönüş yolu barədə heç nə sübut etmir.

Laboratoriyanın normal şlüzünə filial prefiksinə geri yol lazımdır, əgər dizayn mənbəni qəsdən tərcümə etmirsə, və serverin öz təhlükəsizlik divarı icazə verilən uzaq diapazonu qəbul etməlidir. Heç birini uğurlu tunel konfiqurasiya etmir. strongSwan ötürmə qeydləri hər tərəfdə işləməli olan paket yolunu təsvir edir.

Sonra rədd edilmiş hədəfi də sınayın. Bir tətbiqə ehtiyacı olan filial istifadəçisinin hipervizor konsoluna ehtiyacı yoxdur və siyasətin real olduğunu bilməyin yeganə yolu məhz rədd etməli olduğu şeyi sınamaqdır. Prefiksləri, həlledicidən asılılığı və test nəticələrini qeyd edin, və sahələrdən birində gələcək dəyişiklik yaddaşdan yenidən qurulmaq əvəzinə dəqiqələr içində nəzərdən keçirilə bilər.