Domácí laboratoř a rozdělený tunel: směrujte to, co potřebujete, ne všechno

Rada, že domácí laboratoř potřebuje plný tunel, obvykle pochází z návodu, který ho měl, ne z požadavku. Rozdělený tunel není kompromitovaná verze správné VPN; je to verze, jejíž směrovací tabulku dokážete vysvětlit. Laboratoř s pěti službami a správním rozhraním nepotřebuje, aby každý paket opouštějící dům procházel tunelem. Potřebuje inventář a trasu pro každou položku tohoto inventáře.

Mýtus: rozdělený tunel je kompromis

Mýtus přežívá, protože plný tunel se snáze jednou nastaví a hůř se později ladí. Tato výměna je rozumná pro notebook na veřejné Wi-Fi a špatná pro rack ve sklepě.

Skrývá také druhý předpoklad, totiž že adresování laboratoře nemá nic společného se sítí, ze které se připojujete.

Udělejte inventář prostředků před trasami

Zapište každou podsíť laboratoře, službu, která tam žije, název, podle kterého ji překládáte, a kdo se k ní smí dostat; poznámky k předávání pro vaši bránu popisují zpáteční cestu, proti které plánujete. Přidejte rozsahy kontejnerů a rozsahy LAN, které vzdálený klient možná už používá, protože překrytí je selhání, jemuž tento inventář brání. Trasa pokrývající každou soukromou adresu se dříve nebo později srazí s domácí sítí. Inventář je také testovací plán, proto se vyplatí ho udělat před konfigurací, ne po ní.

Přiřaďte každému prostředku cestu: tunelem, přímo, nebo zakázanou. Prostředek bez přiřazené cesty je ten, který později vytváří zmatený dotaz na podporu.

Pět řádků a sloupec rozhodnutí poráží směrovací tabulku, kterou nikdo nedokáže přečíst.

Brána potřebuje zpáteční cestu

Předávání na bráně je jen polovina. Laboratoř potřebuje trasu zpět do poolu klientů, nebo podporované uspořádání překladu, které návrat umožní. Pokud odpovědi nenajdou klienta, tunel vypadá připojený a každý požadavek vyprší; to je příznak směrování, ne selhání VPN. Zpáteční cestu kontrolujte jako součást návrhu, ne jako diagnostický krok.

Pool klientů, který se překrývá s vlastním adresováním laboratoře, je druhou polovinou tohoto problému a selhává úplně stejně.

Když se dva rozsahy srazí, opravte plán, ne příznaky.

Správní a internetová role jsou oddělené

Rozhodněte, zda tunel používá jen provoz laboratoře, nebo zda se stane i internetovým východem. Nepřidávejte výchozí trasu jen proto, že ji návod použil, protože toto rozhodnutí mění, kam jde každý DNS dotaz a každá kontrola aktualizací. Zachovejte vnější cestu k samotnému koncovému bodu VPN, jinak se tunel pokusí nést své vlastní vnější spojení. Držte správní přístup úzký a dostupný schváleným způsobem obnovy.

Soukromý DNS lze zvolit pro názvy laboratoře, aniž bychom předpokládali, že každý veřejný dotaz potřebuje stejný resolver. To je rozhodnutí o resolveru, ne o trase.

Právě jejich oddělení činí režimy selhání později rozlišitelnými.

Testujte zvenčí, ne z LAN

Použijte vnější oprávněné spojení místo testu ze stejné LAN, protože test ze stejné LAN může chybějící zpáteční trasu zcela skrýt. Ověřte adresu laboratoře, její soukromé jméno hostitele, zamýšlený přímý cíl a požadované chování při selhání. Případ selhání je stejně důležitý jako případ úspěchu: prostředek, který by měl být nedostupný, musí skutečně nedostupný být. Zaznamenejte všechny čtyři výsledky, než návrh prohlásíte za hotový.

Pak uložte konfiguraci tras a DNS vedle inventáře, s uvedeným vlastníkem. Když laboratoř získá další podsíť, aktualizujte obojí a znovu otestujte.

Nevysvětlená trasa, která se překrývá s existující domácí sítí, je výchozím důsledkem vynechání tohoto kroku.

Hotový návrh je malý, zdokumentovaný a nudný, což je přesně to, co laboratoř od své sítě chce. Zajímavá verze je ta, která se rozbije, když jste mimo domov.