Usmjereni VPN ili premošteni LAN za vezu između podružnice i laboratorija

Postoje dva načina da podružnica dosegne domaći laboratorij, a razlika nije postavka. Možete usmjeravati između različitih prefiksa, tako da svako mjesto zadrži vlastitu emitirajuću domenu, ili možete premostiti oba LAN-a u jedan, tako da se emitiranja i promet otkrivanja ponašaju kao da su svi u istoj sobi. Usmjeravanje je dizajn koji preživi kontakt sa stvarnom mrežom. Premošćivanje je dizajn koji čini prvi tjedan lakim i prvi ispad zanimljivim. Usporedba u nastavku govori o tome što svaki daje i koliko stoji, a zatim o tome kako usmjerenu verziju učiniti provjerljivom.

Dva načina povezivanja, jedan očit kompromis

Usmjerena veza tretira domaći laboratorij kao udaljenu mrežu s vlastitim adresiranjem. Podružnica traži prefiks laboratorija, tunel prenosi te pakete, a pristupnik laboratorija odgovara iz svoje vlastite podmreže. Ništa se u ARP tablici podružnice ne mijenja i ništa iz DHCP raspona laboratorija ne dolazi do podružnice.

Premoštena veza proteže jednu domenu sloja 2 preko oba mjesta. Protokoli otkrivanja rade, uređaji se pojavljuju automatski, a svako emitiranje, svaki ARP zahtjev i svaki multicast paket sada je kandidat za prelazak tunelom, dakle velika količina prometa koju nose protokoli napravljeni za lokalni segment, a ne za WAN s drugim MTU-om i promjenjivim vremenom povratnog puta.

Što vam usmjeravanje daje

Prva korist je doseg štete. Petlja, neželjeni DHCP poslužitelj ili poplava emitiranja ostaje na mjestu koje ju je proizvelo, jer usmjerivač ne prosljeđuje emitiranja. Druga je jasnoća adresiranja: prefiks podružnice i prefiks laboratorija su različiti, pa vam odredište paketa govori koje mjesto treba odgovoriti, a pravilo vatrozida može reći „podružnica u podmrežu laboratorija“ umjesto „bilo gdje bilo gdje“.

Treća je da se poklapa s onim što tunel doista prenosi. IPsec pravilo je par prefiksa, a put prosljeđivanja na svakoj strani je obično IP usmjeravanje s omogućenim prosljeđivanjem na pristupniku:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Ono čega se odričete je otkrivanje emitiranjem. To je stvarni gubitak i treba ga namjerno zamijeniti, a ne zaobići premošćivanjem svega.

Što premošćivanje stoji

Premošćivanje mora prenositi okvire sloja 2 kroz tunel, što znači inkapsulaciju poput GRE ili VXLAN preko IPsec-a umjesto običnog tunela temeljenog na pravilima. Kad to postoji, oba mjesta dijele domenu ispada. Spanning tree vidi tunel kao vezu, emitirani promet troši propusnost tunela, a svaki uređaj koji pretpostavlja segment s niskom latencijom ponaša se pogrešno na načine koje je s bilo kojeg kraja teško pripisati.

Uklanja i provjeru adresiranja koja vas drži poštenima. S jednim plosnatim prefiksom duplicirana adresa nije pogreška usmjeravanja nego dva hosta koja si tiho kradu promet, a preklapajući prefiksi između podružnice i laboratorija česti su u domaćim laboratorijskim postavkama, pa premošćivanje ne rješava taj sukob; ono ga raspoređuje.

Sigurnosni argument je onaj koji obično odlučuje. Most proširuje segment na kojem rade protokoli lokalne veze, pa uređaj u podružnici može razgovarati s uređajima laboratorija koji nikada nisu smjeli biti dostupni izvana. Ako laboratorij ima hipervizor, konzolu za pohranu i sučelje za upravljanje u istoj plosnatoj mreži, to je sada jedan segment zajedno s podružnicom.

Imena bez emitiranja

Razlog zašto ljudi premošćuju obično je otkrivanje: pisač, medijski player ili host laboratorija koji se nikada ne pojavi na popisu. Usmjereni odgovor je služba imena. Objavite hostove laboratorija u zoni koju razrješivač podružnice može dosegnuti, a zatim pustite korisnicima da se povežu po imenu umjesto da skeniraju mrežu. To je više posla na početku i znatno manje posla pri svakoj budućoj promjeni.

Otkrivanje multicast je teži slučaj i zaslužuje preciznost. Protokoli poput mDNS-a koriste multicast lokalne veze, koji usmjerivači prema zadanim postavkama ne prosljeđuju, pa host laboratorija koji nedostaje na popisu otkrivanja može i dalje biti dostupan na svojoj dokumentiranoj adresi. Ako određena služba doista zahtijeva multicast, planirajte taj jedan protokol, s reflektorom ili ciljanim pravilom prosljeđivanja, umjesto da premostite cijeli LAN kao općenitu popravku.

Ni reflektor nije besplatna pobjeda. Uvozi isti brbljavi promet kojeg ste se htjeli riješiti, jednu službu po jednu, i treba vlasnika koji će primijetiti kad uređaj počne oglašavati više nego prije. Odaberite ga po službi i zapišite zašto. Zabilježite koja ga je služba trebala i što oglašava, jer ažuriranje firmvera može promijeniti taj popis bez da ikome kaže.

Učinite usmjereni dizajn provjerljivim

Odaberite jedan cilj, primjerice web sučelje laboratorija na vlastitoj podmreži poslužitelja, i dokažite ga u oba smjera. S hosta u podružnici potvrdite adresu i službu koja sluša lokalno, zatim se povežite kroz tunel i ponovite. Tunel koji je podignut dokazuje da se pristupnici slažu; o vatrozidu hosta ili o povratnom putu ne dokazuje ništa.

Uobičajeni pristupnik laboratorija treba put natrag do prefiksa podružnice osim ako dizajn namjerno prevodi izvor, a vatrozid samog poslužitelja mora prihvatiti dopušteni udaljeni raspon. Nijedno od toga ne postavlja uspješan tunel. Bilješke o prosljeđivanju strongSwan opisuju put paketa koji mora raditi na svakoj strani.

Zatim testirajte i odbijeno odredište. Korisnik podružnice koji treba jednu aplikaciju ne treba konzolu hipervizora, a jedini način da znate da je pravilo stvarno je isprobati upravo ono što bi trebalo odbiti. Zabilježite prefikse, ovisnost o razrješivaču i rezultate testova, a buduća promjena na bilo kojem mjestu može se pregledati u nekoliko minuta umjesto ponovno graditi iz sjećanja.