Маршрутизиран VPN или мостов LAN за връзка между филиал и лаборатория

Има два начина да накарате филиал да достигне домашна лаборатория, и разликата не е настройка. Можете да маршрутизирате между различни префикси, така че всеки сайт да запази своя широкомовен домейн, или да свържете двете локални мрежи в една с мост, така че широкомовните предавания и трафикът на откриване да се държат все едно всички са в една стая. Маршрутизирането е решението, което издържа на сблъсък с истинска мрежа. Мостът е решението, което прави първата седмица лесна, а първата авария интересна. Сравнението по-долу е за това какво дава всяко и колко струва, последвано от това как да направим маршрутизирания вариант проверим.

Два начина за свързване, един очевиден компромис

Маршрутизирана връзка третира домашната лаборатория като отдалечена мрежа със собствени адреси. Филиалът иска префикса на лабораторията, тунелът пренася тези пакети, а шлюзът на лабораторията отговаря от собствената си подмрежа. Нищо в ARP таблицата на филиала не се променя и нищо от DHCP обхвата на лабораторията не достига до филиала.

Мостова връзка разпростира един домейн от ниво 2 върху двата сайта. Протоколите за откриване работят, устройствата се появяват автоматично и всяко широкомовно предаване, всяка ARP заявка и всеки multicast пакет вече е кандидат да премине през тунела, тоест голямо количество трафик, носено от протоколи, създадени за локален сегмент, а не за WAN с различен MTU и променливо време за обиколка.

Какво ви дава маршрутизирането

Първото предимство е обхватът на щетите. Цикъл, нежелан DHCP сървър или лавина от широкомовни предавания остава в сайта, който го е създал, защото маршрутизаторът не препраща широкомовни предавания. Второто е яснотата на адресирането: префиксът на филиала и префиксът на лабораторията са различни, така че дестинацията на пакета ви казва кой сайт трябва да отговори, и правило на защитната стена може да каже „филиал към подмрежата на лабораторията“ вместо „навсякъде към навсякъде“.

Третото е, че съответства на това, което тунелът всъщност пренася. Политиката IPsec е двойка префикси, а пътят за препращане от всяка страна е обикновено IP маршрутизиране с включено препращане на шлюза:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Отказвате се от откриването чрез широкомовно предаване. Това е реална загуба и трябва да бъде заменена съзнателно, а не заобиколена чрез мост на всичко.

Какво струва мостът

Мостът трябва да пренася кадри от ниво 2 през тунел, което означава инкапсулация като GRE или VXLAN върху IPsec вместо прост тунел, базиран на политики. Щом това съществува, двата сайта споделят един домейн на отказ. Spanning tree вижда тунела като връзка, широкомовният трафик изразходва честотната лента на тунела и всяко устройство, което предполага сегмент с ниска латентност, се държи неправилно по начини, които трудно се приписват от който и да е край.

Той също премахва проверката на адресирането, която ви държи честни. С един плосък префикс дублиран адрес не е грешка в маршрутизирането, а два хоста, които тихо си крадат трафика, и припокриващите се префикси между филиал и лаборатория са обичайни в домашните лаборатории, затова мостът не решава този конфликт; той го разпределя.

Аргументът за сигурност обикновено решава. Мостът разширява сегмента, на който работят протоколите за локална връзка, така че устройство във филиала може да говори с устройства на лабораторията, които никога не е трябвало да бъдат достъпни отвън. Ако лабораторията има хипервизор, конзола за съхранение и интерфейс за управление в една и съща плоска мрежа, сега това е един сегмент заедно с филиала.

Имена без широкомовно предаване

Причината хората да строят мостове обикновено е откриването: принтер, медийно устройство или хост на лабораторията, който никога не се появява в списък. Маршрутизираният отговор е услуга за имена. Публикувайте хостовете на лабораторията в зона, която резолверът на филиала може да достигне, и после оставете потребителите да се свързват по име вместо да сканират мрежата. Това е повече работа в началото и значително по-малко работа при всяка бъдеща промяна.

Откриването чрез multicast е по-трудният случай и заслужава прецизност. Протоколи като mDNS използват multicast за локална връзка, който маршрутизаторите не препращат по подразбиране, така че хост на лабораторията, липсващ в списък за откриване, може да остане достъпен на своя документиран адрес. Ако конкретна услуга наистина изисква multicast, планирайте този един протокол, с рефлектор или насочено правило за препращане, вместо да правите мост на цялата локална мрежа като общо поправяне.

Рефлекторът също не е безплатна победа. Той внася същия приказлив трафик, който се опитвахте да избегнете, една услуга наведнъж, и му трябва собственик, който да забележи, когато устройство започне да обявява повече от преди. Избирайте го за всяка услуга и записвайте защо. Отбелязвайте коя услуга се е нуждала от него и какво обявява, защото актуализация на фърмуера може да промени този списък, без да каже на никого.

Направете маршрутизирания вариант проверим

Изберете една цел, например уеб интерфейс на лабораторията в собствената ѝ подмрежа от сървъри, и я докажете в двете посоки. От хост във филиала потвърдете адреса и слушащата услуга локално, после се свържете през тунела и повторете. Вдигнат тунел доказва, че шлюзовете са съгласни; за защитната стена на хоста или обратния маршрут не доказва нищо.

Обикновеният шлюз на лабораторията се нуждае от маршрут обратно към префикса на филиала, освен ако проектът умишлено не преобразува източника, а защитната стена на самия сървър трябва да приема разрешения отдалечен диапазон. Нито едното от двете не се конфигурира от успешен тунел. Бележките за препращане на strongSwan описват пътя на пакетите, който трябва да работи от всяка страна.

След това тествайте и забранена дестинация. Потребител на филиала, който се нуждае от едно приложение, не се нуждае от конзолата на хипервизора, и единственият начин да знаете, че политиката е истинска, е да опитате точно това, което тя трябва да откаже. Запишете префиксите, зависимостта от резолвера и резултатите от тестовете, и бъдеща промяна в който и да е сайт може да бъде прегледана за минути, вместо да се възстановява по памет.