Routovaná VPN nebo mostovaná LAN pro spojení mezi pobočkou a laboratoří

Existují dva způsoby, jak dostat pobočku k domácí laboratoři, a rozdíl není nastavení. Můžete routovat mezi oddělenými prefixy, takže každé místo zachová svou vlastní doménu vysílání, nebo můžete obě LAN mostovat do jedné, takže vysílání a provoz objevování se chovají, jako by všichni byli v jedné místnosti. Routing je návrh, který přežije kontakt s opravdovou sítí. Mostování je návrh, který dělá první týden snadný a první výpadek zajímavý. Srovnání níže je o tom, co každý z nich dává a co stojí, a poté o tom, jak udělat routovanou verzi testovatelnou.

Dva způsoby připojení, jeden zjevný kompromis

Routované spojení považuje domácí laboratoř za vzdálenou síť s vlastním adresováním. Pobočka si vyžádá prefix laboratoře, tunel přenáší tyto pakety a brána laboratoře odpovídá ze své vlastní podsítě. Na ARP tabulce pobočky se nic nemění a nic z rozsahu DHCP laboratoře se k pobočce nedostane.

Mostované spojení rozšiřuje jednu doménu vrstvy 2 na obě místa. Protokoly objevování fungují, zařízení se objevují automaticky a každé vysílání, každý požadavek ARP a každý multicastový paket je nyní kandidátem na přechod tunelem, tedy velké množství provozu neseného protokoly navrženými pro místní segment, a ne pro WAN s jinou MTU a proměnnou dobou odezvy.

Co vám routing dává

První výhodou je dosah škody. Smyčka, nechtěný server DHCP nebo záplava vysílání zůstane v místě, které ji vytvořilo, protože router vysílání nepředává. Druhou je jasnost adresování: prefix pobočky a prefix laboratoře jsou oddělené, takže cíl paketu vám řekne, které místo má odpovědět, a pravidlo firewallu může říct „pobočka do podsítě laboratoře“ místo „kamkoli kamkoli“.

Třetí je, že to odpovídá tomu, co tunel skutečně přenáší. Politika IPsec je dvojice prefixů a cesta předávání na každé straně je běžný IP routing s povoleným předáváním na bráně:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

To, co vzdáváte, je objevování pomocí vysílání. To je skutečná ztráta a měla by být nahrazena záměrně, ne obcházena mostováním všeho.

Co mostování stojí

Mostování musí přenášet rámce vrstvy 2 tunelem, což znamená zapouzdření jako GRE nebo VXLAN přes IPsec místo prostého tunelu založeného na politikách. Jakmile to existuje, obě místa sdílejí doménu poruchy. Spanning tree vidí tunel jako spoj, provoz vysílání spotřebovává šířku pásma tunelu a každé zařízení, které předpokládá segment s nízkou latencí, se chová špatně způsoby, které je z kterékoli strany těžké připsat.

Odstraňuje také kontrolu adresování, která vás drží poctivé. S jedním plochým prefixem není duplicitní adresa chybou routingu, ale dva hosty, kteří si tiše kradou provoz, a překrývající se prefixy mezi pobočkou a laboratoří jsou v domácích laboratorních sestavách běžné, takže mostování ten konflikt neřeší; rozděluje ho.

Argument bezpečnosti je ten, který obvykle rozhoduje. Most rozšiřuje segment, na kterém pracují protokoly lokálního spoje, takže zařízení v pobočce může mluvit se zařízeními laboratoře, která nikdy neměla být dostupná zvenčí. Pokud má laboratoř hypervizor, konzoli úložiště a rozhraní pro správu ve stejné ploché síti, je to teď jeden segment spolu s pobočkou.

Názvy bez vysílání

Důvod, proč lidé mostují, je obvykle objevování: tiskárna, mediální přehrávač nebo host laboratoře, který se nikdy neobjeví v seznamu. Routovanou odpovědí je služba názvů. Publikujte hosty laboratoře v zóně, kterou resolver pobočky dosáhne, a pak nechte uživatele připojovat se jménem místo skenování sítě. To je na začátku více práce a při každé budoucí změně výrazně méně práce.

Objevování multicastu je obtížnější případ a zaslouží si přesnost. Protokoly jako mDNS používají multicast lokálního spoje, který routery ve výchozím nastavení nepředávají, takže host laboratoře chybějící v seznamu objevování může být stále dostupný na své dokumentované adrese. Pokud konkrétní služba opravdu vyžaduje multicast, naplánujte ten jeden protokol, s reflektorem nebo cíleným pravidlem předávání, místo mostování celé LAN jako obecné opravy.

Ani reflektor není zdarma. Přivádí stejný ukecaný provoz, kterému jste se chtěli vyhnout, jednu službu po druhé, a potřebuje vlastníka, který si všimne, když zařízení začne oznamovat víc než dřív. Vybírejte ho pro každou službu a zapište proč. Poznamenejte, která služba ho potřebovala a co oznamuje, protože aktualizace firmwaru může ten seznam změnit, aniž by to někomu řekla.

Učiňte routovaný návrh testovatelným

Vyberte jeden cíl, například webové rozhraní laboratoře ve vlastní podsíti serverů, a dokažte ho v obou směrech. Z hostu v pobočce potvrďte adresu a naslouchající službu lokálně, potom se připojte tunelem a zopakujte to. Tunel, který je nahoře, dokazuje, že brány souhlasí; o firewallu hostu nebo o zpětné trase nedokazuje nic.

Normální brána laboratoře potřebuje trasu zpět k prefixu pobočky, pokud návrh záměrně nepřekládá zdroj, a firewall samotného serveru musí přijmout povolený vzdálený rozsah. Ani jedno z toho úspěšný tunel nenastaví. Poznámky k předávání strongSwan popisují cestu paketů, která musí na každé straně fungovat.

Potom otestujte i zakázaný cíl. Uživatel pobočky, který potřebuje jednu aplikaci, nepotřebuje konzoli hypervizoru, a jediný způsob, jak zjistit, že politika je skutečná, je vyzkoušet právě to, co má odmítnout. Zapište prefixy, závislost na resolveru a výsledky testů, a budoucí změna v kterémkoli místě se dá projít v minutách místo znovuvybudování z paměti.