VPN sayt genişlənməsi: şlüz arxasındakı qayıdış marşrutunu izləyin

Filialdan gələn trafik, soruşulan tətbiqin olmadığı LAN-a malik şlüzdə bitir. Server ikinci data mərkəzində, VPN-in heç vaxt konfiqurasiya etmədiyi daxili keçid üzərində yerləşir. Yaxın şlüzə daha bir prefiks əlavə etmək bu hal üçün heç nə etmir, çünki uzaq şlüz son marşrutlaşdırıcı deyil, şifrələmə son nöqtəsidir. Yolun irəli marşruta, uzaq təhlükəsizlik sərhədində buraxılışa və təyinat şəbəkəsinin özündə qayıdış qərarına ehtiyacı var.

Uzaq şlüz şifrələmə son nöqtəsidir

Şlüz-şlüz IPsec iki təhlükəsizlik cihazı arasındakı trafiki qoruyur və daxili ünvanlar həmin seqmentdə şifrələnmiş halda hərəkət edir. Uzaq şlüzdən sonra adi marşrutlaşdırma işə düşür, o cümlədən data mərkəzləri arasında mövcud olan istənilən siyasət. Beləliklə, qorunan seqment səyahətin bir hissəsini əhatə edir, qalanını yox. Əksini fərz etmək dizaynın sağlam tunel və əlçatmaz tətbiqlə bitməsinin yoludur.

Yolu üç hissədə çəkin: filialdan yaxın şlüzə, yaxından uzaq şlüzə, uzaq şlüzdən tətbiqə. Hər hissənin öz sahibi və öz uğursuzluq rejimi var.

Tunel siyasətinin hər iki istiqamətini oxuyun

Tunel siyasəti adətən yerli tərəfin baxışından yazılır və qismən konfiqurasiyalar məhz bu vərdişdən yaranır. Hər iki peer filial mənbəyini və təyinatı tunelin içində görünəcəyi kimi siyahıya almalıdır, dizaynın nəzərdə tutduğu istənilən tərcümə də daxil olmaqla. Yalnız yaxın ucun yenilənməsi ikinci faza uyğunsuzluğu yaradır ki, bu da marşrutlaşdırma uğursuzluğu kimi görünür. Hər hansı marşruta toxunmadan əvvəl iki siyasət dəstini müqayisə edin.

Mənbəyi və təyinatı sayt adları kimi deyil, ünvanlar kimi yazın. Buradakı qeyri-müəyyənlik sonradan çaşdırıcı asimmetriya kimi qayıdır.

İrəli marşrutu əlavə edin və buraxılışı təsdiqləyin

Uzaq şlüzə tətbiq subnetinə doğru marşrut lazımdır və aralarındakı hər marşrutlaşdırıcı filial mənbəyini qəbul etməlidir. Diaqramın iddia etdiyini deyil, uzaq şlüzün həqiqətən nəyə sahib olduğunu yoxlayın.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Birinci əmr uzaq şlüzün həmin mənbə üçün seçəcəyi çıxış interfeysini və növbəti hopu bildirir ki, bu, adi marşrut cədvəlinin cavab verə bilmədiyi sualdır. İz paketlərin harada dayandığını göstərir və uzaq şlüzdən sonrakı kəsilmə tunelə deyil, daxili tranzitə işarə edir. Marşrut mövcud olduğu halda trafik yenə yox olursa, uzaq şlüzdə tutun və gələn mənbə ünvanını oxuyun, çünki gözlənilməz ünvan tərcümənin planlaşdırılmamış yerdə baş verdiyini bildirir. Buradakı bütün ünvanlar yer tutucudur, ona görə real filial, tranzit və tətbiq subnetlərini qoyun.

Filialdan sınaqdan keçirin, sonra köhnə yolu yenidən yoxlayın

Qəbul üçün uzaq şlüzdən zond deyil, real mənbə lazımdır. Yoxlamanı filial hostundan keçirin və əvvəl işləyən təyinatları eyni sınaqda saxlayın.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Tətbiqdən gələn cavab irəli yolu və qayıdış yolunu birlikdə sübut edir, köhnə təyinata ping isə dəyişikliyin artıq işləyəni pozmadığını sübut edir. Tətbiqin qeyd etdiyi mənbə ünvanını götürün, çünki onun giriş qaydaları və istənilən qayıdış marşrutu həmin dəyərə uyğun olmalıdır. Filial tuneldən əvvəl tərcümə etdikdə siyasət ünvanı ilə tətbiqin gördüyü ünvan dizayna görə fərqlənir, ona görə hər ikisini qeyd edin. Açar yenilənməsindən və ya marşrut dəyişikliyindən sonra sınağı təkrarlayın, çünki bu yollar adətən bir dəfə yoxlanılır və sonra unudulur.

Üç seqmentin hər birinə və təyinat şəbəkəsinin içindəki qayıdış marşrutuna sahib təyin edin. Dörd sahibi olan yol aralarındakı boşluqlarda uğursuz olur.