Laboratori domèstic amb túnel dividit: encamineu el que necessiteu, no tot

El consell que un laboratori domèstic necessita un túnel complet normalment ve d'un tutorial que en tenia un, no d'un requisit. El túnel dividit no és la versió compromesa d'una VPN correcta; és la versió la taula de rutes de la qual podeu explicar. Un laboratori amb cinc serveis i una interfície de gestió no necessita que cada paquet que surt de casa travessi un túnel. El que necessita és un inventari i una ruta per a cada element d'aquest inventari.

El mite: el túnel dividit és un compromís

El mite sobreviu perquè un túnel complet és més fàcil de configurar un cop i més difícil de depurar després. Aquest intercanvi és raonable per a un portàtil en Wi-Fi pública i equivocat per a un armari al soterrani.

També amaga un segon supòsit: que l'adreçament del laboratori no té res en comú amb la xarxa des de la qual us connecteu.

Inventarieu els recursos abans de les rutes

Anoteu cada subxarxa del laboratori, el servei que hi viu, el nom pel qual la resoleu i qui té permís per arribar-hi; les notes de reenviament de la vostra passarel·la descriuen el camí de tornada contra el qual planifiqueu. Afegiu els rangs dels contenidors i els rangs de LAN que el client remot podria ja estar utilitzant, perquè el solapament és la fallada que aquest inventari evita. Una ruta que cobreix cada adreça privada xocarà amb una xarxa domèstica tard o d'hora. L'inventari és també el pla de proves, per això val la pena fer-lo abans de la configuració i no després.

Assigneu a cada recurs un camí: pel túnel, directe o denegat. Un recurs sense camí assignat és el que més tard genera la pregunta de suport confusa.

Cinc files i una columna de decisions superen una taula de rutes que ningú pot llegir.

La passarel·la necessita un camí de tornada

El reenviament a la passarel·la és només la meitat. El laboratori necessita una ruta de tornada cap al pool de clients, o una disposició de traducció admesa que faci possible el retorn. Si les respostes no poden trobar el client, el túnel sembla connectat i cada petició es queda sense resposta; això és un símptoma d'encaminament, no una fallada de la VPN. Comproveu el camí de tornada com a part del disseny, no com a pas de diagnòstic.

Un pool de clients que se solapa amb l'adreçament propi del laboratori és l'altra meitat d'aquest problema, i falla exactament de la mateixa manera.

Corregiu el pla, no els símptomes, quan els dos rangs xoquen.

Els papers de gestió i d'internet són separats

Decidiu si només el tràfic del laboratori utilitza el túnel o si també es converteix en una sortida a internet. No afegiu una ruta per defecte només perquè un tutorial en va fer servir una, perquè aquesta decisió canvia on va cada consulta DNS i cada comprovació d'actualització. Preserveu un camí exterior fins al mateix punt final de la VPN, o el túnel intentarà portar la seva pròpia connexió exterior. Manteniu l'accés de gestió estret i abastable mitjançant un mètode de recuperació aprovat.

Es pot triar un DNS privat per als noms del laboratori sense suposar que cada consulta pública necessita el mateix resolutor. Això és una decisió de resolutor, no una decisió de ruta.

Mantenir-los separats és el que fa que els modes de fallada es puguin distingir més tard.

Proveu des de fora, no des de la LAN

Feu servir una connexió externa autoritzada en lloc d'una prova des de la mateixa LAN, perquè una prova des de la mateixa LAN pot amagar completament una ruta de tornada absent. Verifiqueu una adreça del laboratori, el seu nom d'amfitrió privat, una destinació directa prevista i el comportament de fallada requerit. El cas de fallada importa tant com el cas d'èxit: un recurs que no hauria de ser abastable ha de ser realment inabastable. Enregistreu els quatre resultats abans de donar el disseny per acabat.

Després deseu la configuració de rutes i DNS al costat de l'inventari, amb un propietari nomenat. Quan el laboratori obtingui una altra subxarxa, actualitzeu tots dos i torneu a provar.

Una ruta no explicada que se solapa amb una xarxa domèstica existent és el resultat per defecte de saltar-se aquest pas.

El disseny acabat és petit, documentat i avorrit, que és exactament el que un laboratori vol de la seva xarxa. La versió interessant és la que es trenca mentre sou fora de casa.