Dues LAN a NetBird: quins parells encaminen i qui pot parlar

Una estació de treball de la LAN oest obre un navegador, escriu l'adreça d'una aplicació de la LAN est i espera fins que s'esgota el temps. Totes les pantalles del NetBird diuen que els parells estan connectats, cosa que és certa i no ve al cas: ser en una xarxa superposada no és el mateix que tenir les dues subxarxes locals en una sola xarxa. El recorregut següent comença en aquesta estació de treball i acaba amb una petició que el disseny refusa expressament, i cada parada és una cosa que es llegeix d'un dispositiu en lloc d'inferir-se. Espereu que la peça que falta sigui una ruta o una política, no la superposició.

Primer llegiu el fracàs des de l'estació de treball

Abans d'obrir la consola de gestió, establiu què envia realment l'estació de treball. La seva pròpia taula d'encaminament decideix si el paquet va a la passarel·la del lloc, a una interfície local o enlloc, i aquesta decisió és visible sense cap eina de superposició. Una màquina sense ruta per al prefix llunyà fallarà per molt sana que sembli la llista de parells. El rang de la superposició i el prefix propi del lloc són espais d'adreces diferents, i l'alta només n'ha configurat un.

Després separeu la resolució de noms de l'abast, perquè el navegador reporta totes dues com el mateix temps esgotat. Repetiu la petició per adreça des d'una màquina que executi el client NetBird i després des d'una estació de treball normal que no el tingui. Si la màquina donada d'alta té èxit i la normal falla, la bretxa és a l'encaminament local; si fallen totes dues, seguiu llegint abans de canviar una ruta.

Trieu un parell d'encaminament per lloc

Un parell d'encaminament és un amfitrió que representa la seva LAN a la superposició, així que trieu una màquina Linux amb abast estable a la subxarxa en lloc de l'estació de treball d'algú. Donau-la d'alta pel procés normal i poseu-la en un grup amb el nom del rol, perquè el recurs de xarxa i la política es referiran tots dos a aquest grup. Un representant per lloc continua essent llegible; un estol de voluntaris que anuncien el mateix prefix converteix cada pregunta posterior en una sessió de depuració. L'adreça del parell al segment local importa tant com la seva identitat a la superposició, perquè aquesta adreça esdevé el següent salt que es diu a cada dispositiu normal.

Escriviu el pla abans de tocar la consola, perquè els noms i els prefixos són on aquests dissenys es desvien: prefix, passarel·la, adreça del parell i grup, per lloc. L'oest és 10.52.0.0/24 servit per 10.52.0.5 i l'est és 10.63.0.0/24 servit per 10.63.0.5; els dos grups són west-routers i east-routers, i cap prefix no pot superposar-se amb l'altre, amb el rang de la superposició ni amb una altra destinació encaminada.

Creeu el recurs, manteniu l'emmascarament

Al tauler desplegat, creeu un recurs de xarxa per lloc i hi adjunteu el grup de parells d'encaminament d'aquell lloc. El recurs és el prefix i el grup és l'amfitrió que hi respon, i tots dos han d'existir abans que s'anunciï res. Confirmeu que la versió autoallotjada desplegada té el flux de treball de Xarxes, perquè una interfície més antiga amb un objecte de ruta de nom semblant és una funció diferent.

Deixeu l'emmascarament activat. La guia de NetBird per a lloc a lloc el requereix en aquesta disposició, i desactivar-lo per mantenir visible cada adreça original no és el mateix disseny amb un salt menys; canvia què observen les comprovacions d'origen i les polítiques de la superposició. La conseqüència val la pena dir-la plana: el servei receptor enregistra el parell d'encaminament com a origen, no l'estació de treball individual. Si la llista d'autoritzats o l'auditoria d'aquell servei espera adreces d'estacions de treball, o canvia l'expectativa o la identitat s'ha d'imposar a la frontera del lloc abans de la traducció.

Autoritzeu els iniciadors, no els prefixos

Una ruta fa arribable una adreça i una política decideix qui la pot fer servir; són dos objectes separats amb propietaris separats. Escriviu la política des de la càrrega de treball cap enrere: quin grup inicia, quin recurs apunta i quin servei TCP necessita. Una xarxa que anuncia tots dos prefixos a cada parell donat d'alta ha creat abast i no ha resolt res.

Després llegiu què més ja es permet, perquè una regla nova estreta no revoca una d'ampla antiga que se li sobreposa. Quan l'est també ha d'iniciar connexions cap a l'oest, escriviu aquesta direcció com a política pròpia; el trànsit de retorn d'una sessió oberta per l'oest és una pregunta diferent de permetre sessions noves cap a l'est. Si només algunes estacions de treball de l'oest han d'arribar a l'aplicació de l'est, seleccioneu-les a la frontera del lloc abans de la traducció i manteniu l'autenticació pròpia de l'aplicació. El parell d'encaminament porta el trànsit de la LAN com el lloc sencer i no com una identitat de superposició per usuari, així que la comptabilitat per usuari ha de venir d'algun altre lloc.

Ensenyeu a cada passarel·la el següent salt i després proveu una denegació

Els dispositius normals no veuen mai la superposició, així que la seva pròpia passarel·la necessita una ruta estàtica que apunti el prefix llunyà a l'adreça LAN del parell d'encaminament. Aquest és el pas que la gent omet, perquè tot el visible dins del NetBird ja funciona mentre les estacions de treball normals encara s'esgoten. La passarel·la conserva la ruta per defecte com era; aquest prefix és un afegit, no una substitució.

Les dues descripcions de ruta van a la configuració de passarel·la de cada lloc, no a una excepció a l'amfitrió. Totes dues són rutes estàtiques normals i cap no toca la ruta per defecte:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Proveu amb l'aplicació que el projecte necessita de debò, des d'una estació de treball normal, i enregistreu tres coses: el següent salt triat al costat emissor, la política que ha coincidit i l'adreça d'origen que el servei ha registrat. Proveu també una denegació, perquè un disseny que mai no ha denegat res té vores desconegudes, i la denegació és l'única prova que fa la feina la política i no l'encaminament. Quan l'est també ha d'iniciar, comenceu una connexió nova des d'aquell costat en lloc de suposar que la segona direcció segueix. Planifiqueu també el reinici, l'actualització i la substitució del parell d'encaminament, perquè un amfitrió s'ha convertit en dependència del lloc.

Els noms privats necessiten el seu propi disseny de resolució, perquè l'abast no crea registres DNS i un camí IP que funciona amb un nom trencat es llegeix exactament com un camí trencat. Si un parell d'encaminament s'executa dins d'una xarxa de núvol, reviseu també les regles de reenviament i de tallafoc del proveïdor, perquè l'alta no les anul·la. Manteniu les observacions de la prova al costat del pla, perquè la propera persona que ho depuri voldrà la política coincident i l'adreça d'origen enregistrada, no una descripció de la topologia.