VPN encaminada o LAN pont per a un enllaç entre delegació i laboratori

Hi ha dues maneres de fer que una delegació arribi a un laboratori domèstic, i la diferència no és un paràmetre. Pots encaminar entre prefixos diferents, de manera que cada seu conservi el seu propi domini de difusió, o pots pontar les dues LAN en una de sola, de manera que les difusions i el trànsit de descobriment es comportin com si tothom fos a la mateixa sala. L’encaminament és el disseny que sobreviu al contacte amb una xarxa real. El pontatge és el disseny que fa fàcil la primera setmana i interessant la primera caiguda. La comparació de sota tracta del que dona cadascun i del que costa, seguida de com fer comprovable la versió encaminada.

Dues maneres de connectar, un compromís evident

Un enllaç encaminat tracta el laboratori domèstic com una xarxa remota amb el seu propi adreçament. La delegació demana el prefix del laboratori, el túnel transporta aquests paquets i la porta d’enllaç del laboratori respon des de la seva pròpia subxarxa. Res de la taula ARP de la delegació no canvia, i res de l’àmbit DHCP del laboratori no arriba a la delegació.

Un enllaç pontat estén un sol domini de capa 2 per les dues seus. Els protocols de descobriment funcionen, els dispositius apareixen sols, i cada difusió, cada petició ARP i cada paquet multicast és ara un candidat a travessar el túnel, és a dir, una gran quantitat de trànsit portada per protocols pensats per a un segment local i no per a una WAN amb una altra MTU i un temps d’anada i tornada variable.

Què et dona l’encaminament

El primer benefici és el radi del mal. Un bucle, un servidor DHCP indesitjat o un diluvi de difusions es queda a la seu que l’ha produït, perquè un encaminador no reenvia difusions. El segon és la claredat de l’adreçament: el prefix de la delegació i el del laboratori són diferents, així que la destinació d’un paquet et diu quina seu ha de respondre, i una regla de tallafocs pot dir «delegació a subxarxa del laboratori» en lloc de «qualsevol lloc a qualsevol lloc».

El tercer és que encaixa amb el que el túnel transporta de debò. Una política IPsec és un parell de prefixos, i el camí de reenviament de cada costat és encaminament IP corrent amb el reenviament activat a la porta d’enllaç:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

El que cedeixes és el descobriment per difusió. És una pèrdua real, i s’ha de substituir a propòsit en lloc de sortejar-ho pontant-ho tot.

Què costa el pontatge

El pontatge ha de portar trames de capa 2 per un túnel, cosa que implica una encapsulació com GRE o VXLAN sobre IPsec en comptes d’un túnel simple basat en polítiques. Un cop existeix, les dues seus comparteixen un domini de fallada. L’arbre d’expansió veu el túnel com un enllaç, el trànsit de difusió consumeix amplada de banda del túnel, i qualsevol dispositiu que pressuposa un segment de baixa latència es comporta malament de maneres difícils d’atribuir des de qualsevol dels dos extrems.

També elimina la comprovació d’adreçament que et manté honest. Amb un prefix pla, una adreça duplicada no és un error d’encaminament sinó dos amfitrions que es roben el trànsit en silenci, i els prefixos solapats entre una delegació i un laboratori són habituals en muntatges de laboratori domèstic, així que el pontatge no resol aquest conflicte; el reparteix.

L’argument de seguretat és el que sol decidir-ho. Un pont estén el segment on operen els protocols d’enllaç local, així que un dispositiu de la delegació pot parlar amb dispositius del laboratori que mai no havien de ser accessibles des de fora. Si el laboratori té un hipervisor, una consola d’emmagatzematge i una interfície de gestió a la mateixa xarxa plana, ara això és un sol segment juntament amb la delegació.

Noms sense difusió

La raó per la qual la gent ponta sol ser el descobriment: una impressora, un reproductor multimèdia o un amfitrió del laboratori que no apareix mai en una llista. La resposta encaminada és un servei de noms. Publica els amfitrions del laboratori en una zona que el resolutor de la delegació pugui abastar, i després deixa que els usuaris es connectin per nom en lloc d’escanejar la xarxa. Això és més feina al principi i força menys feina a cada canvi futur.

El descobriment multicast és el cas més difícil, i mereix precisió. Protocols com mDNS fan servir multicast d’enllaç local, que els encaminadors no reenvien per defecte, així que un amfitrió del laboratori absent d’una llista de descobriment pot continuar sent accessible a la seva adreça documentada. Si un servei concret exigeix de veritat multicast, planifica aquest sol protocol, amb un reflector o una regla de reenviament dirigida, en lloc de pontar tota la LAN com a reparació general.

Un reflector tampoc no és una victòria gratis. Importa el mateix trànsit xerraire que intentaves evitar, un servei cada vegada, i necessita un propietari que noti quan un dispositiu comença a anunciar més que abans. Tria’l servei a servei, i escriu per què. Anota quin servei el necessitava i què anuncia, perquè una actualització de firmware pot canviar aquesta llista sense avisar ningú.

Fes comprovable el disseny encaminat

Tria un objectiu, per exemple una interfície web del laboratori a la seva pròpia subxarxa de servidors, i demostra-ho en tots dos sentits. Des d’un amfitrió de la delegació, confirma l’adreça i el servei a l’escolta en local, després connecta’t pel túnel i repeteix. Un túnel que està aixecat demostra que les portes d’enllaç estan d’acord; no demostra res sobre el tallafocs de l’amfitrió ni sobre la ruta de retorn.

La porta d’enllaç normal del laboratori necessita una ruta de tornada al prefix de la delegació, tret que el disseny tradueixi la font a propòsit, i el tallafocs del mateix servidor ha d’acceptar el rang remot permès. Cap de les dues coses no la configura un túnel correcte. Les notes de reenviament de strongSwan descriuen el camí dels paquets que ha de funcionar a cada costat.

Després prova també una destinació denegada. Un usuari de la delegació que necessita una aplicació no necessita la consola de l’hipervisor, i l’única manera de saber que la política és real és provar justament el que hauria de refusar. Anota els prefixos, la dependència del resolutor i els resultats de les proves, i un canvi futur en qualsevol de les dues seus es pot revisar en minuts en lloc de reconstruir-se de memòria.