Домашна лаборатория със разделен тунел: маршрутизирайте нужното, не всичко

Съветът, че домашната лаборатория се нуждае от пълен тунел, обикновено идва от урок, който е имал такъв, а не от изискване. Разделеният тунел не е компромисната версия на истински VPN; това е версията, чиято таблица с маршрути можете да обясните. Лаборатория с пет услуги и интерфейс за управление не се нуждае от това всеки пакет, напускащ дома, да минава през тунел. Тя се нуждае от инвентар и маршрут за всеки елемент от този инвентар.

Митът: разделеният тунел е компромис

Митът оцелява, защото пълният тунел е по-лесен за настройка веднъж и по-труден за отстраняване на проблеми по-късно. Тази размяна е разумна за лаптоп в обществен Wi-Fi и грешна за стелаж в мазето.

Той също така крие второ допускане, а именно че адресирането на лабораторията няма нищо общо с мрежата, от която се свързвате.

Направете инвентар на ресурсите преди маршрутите

Запишете всяка подмрежа на лабораторията, услугата, която живее там, името, с което я резолввате, и кой има право да я достигне; вижте бележките за препращане за вашия шлюз, които описват обратния път, спрямо който планирате. Добавете диапазоните на контейнерите и LAN диапазоните, които отдалеченият клиент може вече да използва, защото припокриването е отказът, който този инвентар предотвратява. Маршрут, който покрива всеки частен адрес, рано или късно ще се сблъска с домашна мрежа. Инвентарът е и планът за тестване, затова си струва да се направи преди конфигурацията, а не след нея.

Присвоете на всеки ресурс път: през тунела, директно или отказано. Ресурс без присвоен път е този, който по-късно поражда объркания въпрос към поддръжката.

Пет реда и колона с решения побеждават таблица с маршрути, която никой не може да прочете.

Шлюзът се нуждае от обратен път

Препращането на шлюза е само половината. Лабораторията се нуждае от маршрут обратно към пула от клиенти или от поддържана схема за транслация, която прави връщането възможно. Ако отговорите не намират клиента, тунелът изглежда свързан и всяка заявка изтича; това е симптом на маршрутизация, а не отказ на VPN. Проверявайте обратния път като част от проекта, а не като стъпка за отстраняване на проблеми.

Пул от клиенти, който се припокрива със собственото адресиране на лабораторията, е другата половина на този проблем и се проваля по абсолютно същия начин.

Поправете плана, а не симптомите, когато двата диапазона се сблъскат.

Ролите за управление и за интернет са отделни

Решете дали само трафикът на лабораторията използва тунела, или той става и изход към интернет. Не добавяйте маршрут по подразбиране само защото урок е използвал такъв, защото това решение променя накъде отива всяка DNS заявка и всяка проверка за актуализация. Запазете външен път до самата крайна точка на VPN, иначе тунелът ще се опита да носи собствената си външна връзка. Дръжте достъпа за управление тесен и достижим чрез одобрен метод за възстановяване.

Частен DNS може да се избере за имената на лабораторията, без да се предполага, че всяка публична заявка се нуждае от същия резолвер. Това е решение за резолвер, а не решение за маршрут.

Отделянето им е това, което прави режимите на отказ различими по-късно.

Тествайте отвън, не от LAN

Използвайте външна оторизирана връзка вместо тест от същата LAN, защото тест от същата LAN може напълно да скрие липсващ обратен маршрут. Проверете адрес на лабораторията, частното му име на хост, предвидена директна дестинация и изискваното поведение при отказ. Случаят на отказ е толкова важен, колкото и случаят на успех: ресурс, който трябва да е недостижим, трябва наистина да е недостижим. Запишете всичките четири резултата, преди да обявите проекта за завършен.

След това запазете конфигурацията на маршрутите и DNS до инвентара, с посочен собственик. Когато лабораторията получи още една подмрежа, актуализирайте двете и тествайте отново.

Необяснен маршрут, който се припокрива със съществуваща домашна мрежа, е резултатът по подразбиране от пропускането на тази стъпка.

Завършеният проект е малък, документиран и скучен, което е точно това, което лабораторията иска от мрежата си. Интересната версия е тази, която се чупи, докато сте далеч от дома.