Hwb-a-sbôc neu fes llawn: pa dopoleg VPN sy'n addas i'ch safleoedd

Mae dwy swyddfa gangen yn siarad â'i gilydd drwy'r dydd, ac mae'r twnnel rhyngddynt yn gwyro drwy ganolfan ddata mewn rhanbarth arall. Mae pob cais yn talu am y gwyriad hwnnw ddwywaith, ac nid oes neb yn sylwi nes bod y cydamseru ffeiliau'n dechrau teimlo'n anghywir. Dyma lle mae cwestiwn y dopoleg yn dechrau mewn gwirionedd: nid gyda pha ddiagram sy'n edrych yn fwy gwydn, ond gyda pha batrwm traffig yr ydych yn talu amdano. Mae'r ddau ddyluniad yn gweithio, ac maent yn methu mewn ffyrdd gwahanol ar gostau gwahanol.

Cyfrifwch y perthnasoedd cymar cyn unrhyw beth arall

Gyda N safle, mae mes llawn angen N gwaith N minws un, wedi'i rannu â dau, o dwneli; mae angen N ar hwb. Gyda phump o safleoedd mae hynny'n ddeg yn erbyn pump, sy'n dal i swnio'n ymdrinadwy. Gyda phymtheg mae'n 105 yn erbyn pymtheg, ac nid yw'r gwahaniaeth bellach yn rhifyddeg ond yn staffio.

Mae pob un o'r perthnasoedd hynny'n cario cyflwr y mae'n rhaid i chi fod yn berchen arno. Yn IPsec mae hynny'n golygu cysylltiad diogelwch, hunaniaeth, allwedd neu dystysgrif, canfod cymar marw ac o leiaf un llwybr ar gyfer pob rhagddodiad pell. Yn WireGuard mae'n golygu allwedd gyhoeddus ac AllowedIPs bloc fesul cymar, sy'n rhatach fesul cymar ond yn dod heb unrhyw ddarganfod o gwbl: mae safle newydd yn newid cyfluniad ar bob un sy'n bodoli eisoes beth bynnag.

Gadewch i'r gymysgedd traffig benderfynu, nid y llun

Os mai ceisiadau i ERP canolog neu glwstwr ffeiliau yw traffig y canghennau yn bennaf, nid cyfaddawd mo'r hwb, ef yw'r siâp cywir: roedd y traffig eisoes am fynd yno, ac mae un pwynt polisi'n haws ei archwilio na mes o reolau par. Mae mes yn ennill ei gymhlethdod pan fo canghennau'n cyfnewid data â'i gilydd — atgynhyrchu rhwng dau swyddfa, llais rhwng safleoedd, cyfranddaliad CAD y mae dwsin o beirianwyr yn ei agor drwy'r dydd.

Mae'r achosion annifyr yn gorwedd yn y canol, a nhw yw'r mwyafrif. Mesurwch cyn dadlau yn lle dyfalu o siart sefydliad.

Darllenwch y tabl fel penderfynydd, nid fel rheol. Mae tri o bedwar rhes yn un cyfeiriad fel arfer yn setlo'r dyluniad; mae rhaniad yn golygu hybrid, sef yr hyn y mae'r rhan fwyaf o rwydweithiau aeddfed yn ei redeg beth bynnag.

Rhaid dweud wrth hwb am anfon ymlaen

Nid yw dau dwnnel spoke-hub sy'n gweithio yn creu mynediad spoke-spoke. Mae angen i'r hwb alluogi anfon IP ymlaen, llwybr i rwydwaith pob spoke, rheol wal dân sy'n caniatáu'r tramwy, a'r llwybr dychwelyd wedi'i gyfrifo; mae angen llwybr ar bob spoke ar gyfer rhagddodiadau'r safle arall. Ar hwb Linux mae hynny'n net.ipv4.ip_forward=1 ynghyd â FORWARD cadwyn nad yw'n gollwng y pâr yn dawel, ac ar IPsec sy'n seiliedig ar bolisi sefolwyr traffig sy'n rhestru is-rwydwaith spoke pell ar y ddau ben. Yn strongSwan, mae'r nodiadau anfon ymlaen yn cwmpasu ochr y cnewyllyn a'r wal dân pan mai dyna'r haen sydd ar goll gennych. Prawf rhad yw anfon traffig o un spoke i wasanaeth ar y llall wrth wylio chwilwyr y hwb; mae rheol nad yw byth yn cynyddu yn golygu bod y drefn yn anghywir, nid y llwybr.

Mae polisi canolog hefyd yn y rhan ddefnyddiol. Gellir caniatáu i ganghennau gyrraedd gwasanaethau a rennir heb gyrraedd ei gilydd, ac mae'r matrics mynediad hwnnw'n werth ei ysgrifennu'n benodol. Mae llwybrau ar goll yn eilydd gwael am reol y gall rhywun ei darllen.

Gwyliwch am y fersiwn hanner-gwbl: mae spoke A yn llwybro i spoke B drwy'r hwb, mae'r hwb yn llwybro'r ddwy ffordd, ac mae wal dân y hwb yn caniatáu cysylltiadau newydd o A ond nid o B. Mae'r cyfeiriad cyntaf yn profi'n iawn ac mae'r ail yn hongian, sy'n edrych fel nam llwybro ac nid yw.

Dyluniwch y methiant, wedyn y llwybr arferol

Mae un hwb yn ddibyniaeth a rennir ac yn botel-dwnnel tramwy, a gweddillred yw lle mae dyluniadau hwb fel arfer yn mynd o'i le. Mae dau hwb yn golygu bod pob spoke yn dal dau dwnnel, ac mae'n rhaid i'r llwybr dychwelyd gytuno â'r un allan; pan nad yw'n gwneud, mae wal dân â chyflwr yn gollwng yr atebion a'r symptom yw cysylltiad sy'n agor ac yna'n marw. Mae defnyddiadau mwy yn datrys hyn gyda phrotocol llwybro dros y twneli yn lle rhagddodiadau statig, sy'n fwy o beirianwaith ond yn cael gwared ar y dyfalu. Beth bynnag a ddewiswch, ysgrifennwch y llwybr dychwelyd wrth ymyl yr un allan, oherwydd yr hanner dychwelyd yw'r un nad oes neb yn ei brofi.

Mae mes yn taenu'r risg honno: nid yw cysylltiad un safle'n mynd i lawr yn ynysu'r lleill. Mae hefyd yn lluosi'r mannau lle gall dewis llwybr eich synnu, ac nid yw sesiynau cymhwysiad yn dal i oroesi newid llwybr heb help.

Nid yw'r naill ddyluniad na'r llall yn cadw sesiwn TCP yn fyw drwy drafod newid ar ei ben ei hun. Os na all y cymhwysiad ailgysylltu, nid topoleg yw eich problem.

Dewiswch yn ôl cost newid, wedyn gwiriwch y llwybrau

Dechreuwch gyda'r hwb, oherwydd hwnnw yw'r peth rhatach i fod yn anghywir yn ei gylch, ac ychwanegwch dwneli uniongyrchol ar gyfer y parau y mae eu traffig yn ei gyfiawnhau. Nid yw'r hybrid hwnnw'n fethiant i benderfynu; dyma'r dyluniad y mae'r rhan fwyaf o sefydliadau'n cydgyfeirio arno o fewn blwyddyn. Y peth sy'n bwysig yw bod gan bob cysylltiad uniongyrchol reswm datganedig a pherchennog.

Wedyn gwiriwch y ddau luniad yn lle un. Ar gyfer y llwybr arferol, traceroute o bob safle i bob rhagddodiad gwasanaeth a chadarnhewch fod y naidiau'n cyfateb i'r diagram. Ar gyfer y llwybr methiant, caewch un twnnel a'i ailadrodd, oherwydd nid yw llwybr sy'n gweithio dim ond tra mae popeth i fyny wedi'i ddylunio, dim ond wedi'i gyflunio.

Cadwch y ddau luniad gyda'r matrics mynediad, ac ailymwelwch â nhw pan ychwanegir safle; y gost yr ydych yn ei rheoli yw cost y newid nesaf, nid ceinder y llun presennol.