Dvě lokální sítě v NetBirdu: který protějšek směruje a kdo smí mluvit

Pracovní stanice v západní lokální síti otevře prohlížeč, napíše adresu aplikace ve východní lokální síti a čeká, dokud nevyprší časový limit. Každá obrazovka NetBirdu říká, že protějšky jsou připojené, což je pravda a vedle věci: být v jedné překryvné síti není totéž jako mít obě místní podsítě v jedné síti. Procházka níže začíná u této pracovní stanice a končí požadavkem, který návrh záměrně odmítá, a každá zastávka je něco, co z zařízení přečtete, místo abyste to odhadli. Očekávejte, že chybějícím dílem bude trasa nebo pravidlo, ne překryvná síť.

Nejprve přečtěte selhání z pracovní stanice

Než otevřete správní konzoli, zjistěte, co pracovní stanice skutečně odesílá. Její vlastní směrovací tabulka rozhoduje, zda paket půjde na bránu lokality, na místní rozhraní, nebo nikam, a toto rozhodnutí je vidět bez jakýchkoli nástrojů překryvné sítě. Stroj bez trasy pro vzdálený prefix selže, ať už seznam protějšků vypadá jakkoli zdravě. Rozsah překryvné sítě a vlastní prefix lokality jsou různé adresní prostory a registrace nastavila jen jeden z nich.

Dále oddělte překlad jmen od dostupnosti, protože prohlížeč hlásí obojí jako stejné vypršení. Zopakujte požadavek podle adresy ze stroje s klientem NetBird a potom z běžné pracovní stanice bez něj. Pokud registrovaný stroj uspěje a běžný ne, mezera je v místním směrování; pokud selžou oba, čtěte dál, než změníte trasu.

Zvolte jeden směrující protějšek na lokalitu

Směrující protějšek je hostitel, který v překryvné síti zastupuje svou lokální síť, proto zvolte linuxový stroj se stabilní dostupností do podsítě, ne něčí kancelářskou pracovní stanici. Zaregistrujte ho běžným postupem a zařaďte do skupiny pojmenované podle role, protože síťový zdroj i pravidlo se budou odkazovat na tuto skupinu. Jeden zástupce na lokalitu zůstává čitelný; zástup dobrovolníků ohlašujících stejný prefix mění každou další otázku v ladící seanci. Adresa protějšku v místním segmentu je stejně důležitá jako jeho identita v překryvné síti, protože tato adresa se stává dalším skokem, který se říká každému běžnému zařízení.

Napište plán, než se dotknete konzole, protože jména a prefixy jsou místo, kde tyto návrhy utíkají: prefix, brána, adresa protějšku a skupina, pro každou lokalitu. Západ je 10.52.0.0/24 obsluhovaný 10.52.0.5 a východ je 10.63.0.0/24 obsluhovaný 10.63.0.5, skupiny jsou west-routers a east-routers a žádný prefix se nesmí překrývat s druhým, s rozsahem překryvné sítě ani s jiným směrovaným cílem.

Vytvořte zdroj, ponechte maskování zapnuté

V nasazeném panelu vytvořte jeden síťový zdroj na lokalitu a připojte k němu skupinu směrujících protějšků dané lokality. Zdroj je prefix a skupina je hostitel, který za něj odpovídá, a obojí musí existovat, než se cokoli ohlásí. Ověřte, že nasazená vlastnoručně hostovaná verze vůbec má pracovní postup Sítě, protože starší rozhraní s podobně nazvaným objektem trasy je jiná funkce.

Ponechte maskování zapnuté. Průvodce NetBirdu pro propojení lokalit ho v tomto uspořádání vyžaduje a vypnutí, aby každá původní adresa zůstala viditelná, není stejný návrh s jedním skokem méně; mění, co vidí kontroly zdroje a pravidla překryvné sítě. Důsledek stojí za to říct přímo: přijímající služba zaznamenává jako zdroj směrující protějšek, ne jednotlivou pracovní stanici. Pokud seznam povolených nebo audit této služby očekává adresy pracovních stanic, buď se změní očekávání, nebo se identita musí vynutit na hranici lokality před překladem.

Oprávněte iniciátory, ne prefixy

Trasa činí adresu dostupnou a pravidlo rozhoduje, kdo ji smí použít; jsou to dva oddělené objekty s oddělenými vlastníky. Napište pravidlo od pracovní zátěže zpět: která skupina iniciuje, na který zdroj cílí a kterou službu TCP potřebuje. Síť, která ohlašuje oba prefixy každému registrovanému protějšku, vytvořila dostupnost a nic nevyřešila.

Pak přečtěte, co je už povoleno, protože úzké nové pravidlo neruší široké staré, které stojí nad ním. Když musí východ také začínat spojení na západ, napište tento směr jako vlastní pravidlo; zpětný provoz pro relaci, kterou otevřel západ, je jiná otázka než povolení nových relací na východ. Pokud má východní aplikaci dosáhnout jen několik západních pracovních stanic, vyberte je na hranici lokality před překladem a ponechte vlastní ověřování identity aplikace. Směrující protějšek nese provoz lokální sítě jako celou lokalitu, ne jako identitu jednotlivého uživatele v překryvné síti, takže účtování po uživatelích musí přijít odjinud.

Naučte každou bránu dalšímu skoku a pak vyzkoušejte odmítnutí

Běžná zařízení překryvnou síť nikdy nevidí, takže jejich vlastní brána potřebuje statickou trasu, která vzdálený prefix směruje na adresu protějšku v lokální síti. To je krok, který lidé přeskakují, protože vše viditelné v NetBirdu už funguje, zatímco běžné pracovní stanice stále vyprší. Brána si ponechává výchozí trasu tak, jak byla; tento prefix je doplnění, ne náhrada.

Dva popisy tras patří do konfigurace brány každé lokality, ne do přepsání na hostiteli. Obě jsou obyčejné statické trasy a ani jedna se nedotýká výchozí trasy:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Vyzkoušejte s aplikací, kterou projekt skutečně potřebuje, z běžné pracovní stanice, a zaznamenejte tři věci: další skok zvolený na straně odesílatele, pravidlo, které odpovídalo, a zdrojovou adresu, kterou služba zaznamenala. Vyzkoušejte i odmítnutí, protože návrh, který nikdy nic neodmítl, má neznámé okraje, a odmítnutí je jediný důkaz, že práci dělá pravidlo, ne směrování. Když musí východ také iniciovat, začněte nové spojení z té strany, místo abyste předpokládali, že druhý směr následuje. Naplánujte i restart, upgrade a výměnu směrujícího protějšku, protože se z jednoho hostitele stala závislost lokality.

Soukromá jména potřebují vlastní návrh překladače, protože dostupnost nevytváří záznamy DNS a fungující IP cesta s rozbitým jménem se čte přesně jako rozbitá cesta. Pokud směrující protějšek běží v cloudové síti, projděte i pravidla předávání a firewallu poskytovatele, protože registrace je nepřebíjí. Uchovejte pozorování z testu vedle plánu, protože další člověk, který to bude ladit, bude chtít odpovídající pravidlo a zaznamenanou zdrojovou adresu, ne popis topologie.