Маршрутызаваны VPN або маставы LAN для сувязі філіяла з лабараторыяй

Ёсць два спосабы даць філіялу доступ да хатняй лабараторыі, і розніца не ў наладзе. Можна маршрутызаваць паміж рознымі прэфіксамі, каб кожны сайт захоўваў свой шырокавяшчальны дамен, або злучыць дзве лакальныя сеткі ў адну мастом, каб шырокавяшчальныя рассыланні і трафік выяўлення паводзілі сябе так, нібы ўсе ў адным пакоі. Маршрутызацыя — гэта рашэнне, якое вытрымлівае дотык да рэальнай сеткі. Мост — гэта рашэнне, якое робіць першы тыдзень простым, а першую аварыю цікавай. Параўнанне ніжэй пра тое, што дае кожны варыянт і колькі ён каштуе, а далей пра тое, як зрабіць маршрутызаваны варыянт правераным.

Два спосабы злучэння, адзін відавочны кампраміс

Маршрутызаванае злучэнне разглядае хатнюю лабараторыю як аддаленую сетку з уласнай адрасацыяй. Філіял запытвае прэфікс лабараторыі, тунель пераносіць гэтыя пакеты, а шлюз лабараторыі адказвае з сваёй падсеткі. У табліцы ARP філіяла нічога не мяняецца, і нішто з дыяпазону DHCP лабараторыі не даходзіць да філіяла.

Маставое злучэнне расцягвае адзін дамен узроўню 2 на абодва сайты. Пратаколы выяўлення працуюць, прылады з'яўляюцца аўтаматычна, і кожнае шырокавяшчальнае рассыланне, кожны ARP-запыт і кожны multicast-пакет цяпер кандыдат на праход праз тунель, гэта значыць вялікі аб'ём трафіку, які нясуць пратаколы, створаныя для лакальнага сегмента, а не для WAN з іншым MTU і зменным часам кругавога абыходу.

Што дае маршрутызацыя

Першая перавага — радыус паражэння. Пятля, непажаданы DHCP-сервер або лавіна шырокавяшчальных рассыланняў застаецца на тым сайце, які іх спарадзіў, бо маршрутызатар не перасылае шырокавяшчальныя рассыланні. Другая — яснасць адрасацыі: прэфікс філіяла і прэфікс лабараторыі розныя, таму адрас прызначэння пакета кажа, які сайт павінен адказаць, і правіла брандмауэра можа сказаць «філіял у падсетку лабараторыі» замест «адкуль заўгодна куды заўгодна».

Трэцяя — гэта адпавядае таму, што тунель насамрэч пераносіць. Палітыка IPsec — гэта пара прэфіксаў, а шлях перасылкі на кожным баку — звычайная IP-маршрутызацыя з уключанай перасылкай на шлюзе:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Вы адмаўляецеся ад выяўлення праз шырокавяшчальнае рассыланне. Гэта рэальная страта, і яе трэба замяніць свядома, а не абыходзіць, злучаючы ўсё мастом.

Колькі каштуе мост

Мост павінен пераносіць кадры ўзроўню 2 праз тунель, што азначае інкапсуляцыю накшталт GRE або VXLAN паверх IPsec замест простага тунелю на аснове палітык. Як толькі гэта ёсць, два сайты дзеляць адзін дамен адмовы. Spanning tree бачыць тунель як канал, шырокавяшчальны трафік выдаткаўвае паласу тунелю, і любая прылада, якая разлічвае на сегмент з малой затрымкай, паводзіць сябе няправільна так, што гэта цяжка аднесці да аднаго з бакоў.

Ён таксама прыбірае праверку адрасацыі, якая трымае вас у сумленнасці. З адным плоскім прэфіксам дубляваны адрас — гэта не памылка маршрутызацыі, а два хасты, якія ціха крадуць трафік адзін у аднаго, і перакрыўныя прэфіксы паміж філіялам і лабараторыяй звычайныя ў хатніх лабараторыях, таму мост не вырашае гэты канфлікт; ён яго размяркоўвае.

Аргумент бяспекі звычайна і вырашае. Мост пашырае сегмент, на якім працуюць пратаколы лакальнага канала, таму прылада ў філіяле можа гаварыць з прыладамі лабараторыі, якія ніколі не павінны былі быць даступнымі звонку. Калі ў лабараторыі ёсць гіпервізар, кансоль захоўвання і інтэрфейс кіравання ў адной плоскай сетцы, цяпер гэта адзін сегмент разам з філіялам.

Імёны без шырокавяшчальнасці

Прычына, з якой людзі будуюць масты, звычайна выяўленне: прынтар, медыяпрылада або хост лабараторыі, які ніколі не з'яўляецца ў спісе. Маршрутызаваны адказ — гэта служба імёнаў. Апублікуйце хасты лабараторыі ў зоне, якую рэзалвер філіяла можа дасягнуць, а потым няхай карыстальнікі падключаюцца па імені замест сканавання сеткі. Гэта больш працы ў пачатку і прыкметна менш працы пры кожнай будучай змене.

Выяўленне праз multicast — больш складаны выпадак, і ён заслугоўвае дакладнасці. Пратаколы накшталт mDNS выкарыстоўваюць multicast лакальнага канала, які маршрутызатары тыпова не перасылаюць, таму хост лабараторыі, адсутны ў спісе выяўлення, можа заставацца даступным па сваім задокументаваным адрасе. Калі пэўная служба сапраўды патрабуе multicast, плануйце менавіта гэты пратакол, з адбівальнікам або мэтавым правілам перасылкі, а не злучайце ўсю лакальную сетку мастом як агульнае выпраўленне.

Адбівальнік таксама не бясплатная перамога. Ён уцягвае той самы балбатлівы трафік, якога вы спрабавалі пазбегнуць, па адной службе за раз, і яму патрэбен уласнік, які заўважыць, калі прылада пачне абвяшчаць больш, чым раней. Выбірайце яго для кожнай службы і запісвайце чаму. Адзначайце, якой службе ён спатрэбіўся і што яна абвяшчае, бо абнаўленне прашыўкі можа змяніць гэты спіс, нікому не сказаўшы.

Зрабіце маршрутызаваны варыянт правераным

Выберыце адну мэту, напрыклад вэб-інтэрфейс лабараторыі ў яе ўласнай падсетцы сервераў, і давядзіце яе ў абодва бакі. З хоста філіяла пацвердзіце адрас і службу, якая слухае, лакальна, потым падключыцеся праз тунель і паўтарыце. Узняты тунель даказвае, што шлюзы згодныя; пра брандмауэр хоста ці зваротны маршрут ён не даказвае нічога.

Звычайнаму шлюзу лабараторыі патрэбен маршрут назад да прэфікса філіяла, калі толькі праект наўмысна не транслюе крыніцу, а брандмауэр самога сервера павінен прымаць дазволены аддалены дыяпазон. Ні тое ні іншае не наладжваецца паспяховым тунелем. Нататкі пра перасылку strongSwan апісваюць шлях пакетаў, які павінен працаваць на кожным баку.

Потым праверце і забароненае прызначэнне. Карыстальніку філіяла, якому патрэбна адно праграма, не патрэбна кансоль гіпервізара, і адзіны спосаб даведацца, што палітыка сапраўдная, — паспрабаваць менавіта тое, што яна павінна забараніць. Запішыце прэфіксы, залежнасць ад рэзалвера і вынікі праверак, і будучую змену на любым з сайтаў можна прагледзець за хвіліны, а не аднаўляць па памяці.