VPN llwybredig neu bont: dewiswch yn ôl yr hyn y mae’n rhaid i’r cleient ei gyrraedd

Daw dau docyn yr un diwrnod: mae un defnyddiwr angen ap gwe mewnol, ac mae un peiriannydd angen i offeryn mainc ymddwyn fel petai ar yr un segment Ethernet. Atebir y ddau gyda’u rhoi ar y VPN, a dyna lle mae’r helynt yn dechrau. Mae twnnel llwybredig a thwnnel pont yn ymestyn perthnasoedd gwahanol, a dim ond un ohonynt sy’n cyd-fynd â phob cais. Penderfyniad mynediad yw dewis y topoleg, nid gosodiad cryptograffeg.

Dau gais sy’n edrych yr un fath wrth y ddesg docynnau

Gofyniad y cyflogai yw gwasanaeth, y gellir ei gyrraedd dros IP, o ddyfais nad ydych yn ei rheoli. Gofyniad y peiriannydd yw ar lefel cyswllt: mae’r offeryn yn disgwyl gweld fframiau Ethernet, darganfod trwy ddarllediad, ac efallai DHCP o’r segment y mae’n credu ei fod arno.

Cwestiynau gwahanol yw’r rhain, ac mae ateb y ddau gyda phont heb reswm yn ehangu mynediad y cyflogai i LAN y swyddfa gyfan.

Ysgrifennwch y gofyniad fel brawddeg cyn dewis: pa gyrchfannau, pa brotocolau, a pha gyfoedion sydd i ymddangos yn lleol. Os mai’r ateb yw gwesteiwr a phorth, mae llwybreiddio yn ei gwmpasu. Os mai’r ateb yw perthynas ar lefel ffrâm â dyfeisiau sy’n siarad darllediad yn unig, y bont efallai yw’r unig opsiwn. Mae unrhyw beth rhyngddynt yn haeddu segment prawf yn hytrach na’r LAN cynhyrchu.

Mae llwybr yn gulach na bod yn aelod o LAN

Mae cleient llwybredig yn cael cyfeiriad ar is-rwydwaith twnnel a llwybrau ar gyfer y rhagddodiaid a ddewiswch. Gall gyrraedd gweinydd y cymhwysiad a dim byd arall, os mai dyna a ddywed y polisi. Daw’r giât yn fan gorfodi, ar yr amod bod pob llwybr perthnasol yn ei chroesi.

Peidiwch â chymysgu llwybr â chaniatâd. Nid yw dweud wrth gleient sut i gyrraedd is-rwydwaith yn ei atal rhag ceisio cyrchfan arall.

Defnyddiwch reolaeth mynediad lle y gall wir orfodi’r llif, a chadwch ganiatadau’r cymhwysiad ei hun yn eu lle. Gall rheol anfon eang neu ail ryngwyneb wedi’i anghofio roi mwy nag y mae’r diagram yn ei awgrymu. Darllenwch y rheolau effeithiol, nid y rhai arfaethedig. Yna profwch gyrchfan a ddylai fethu, oherwydd hypothosis yw polisi nad oes neb wedi ceisio ei dorri.

Mae pont yn newid y cwestiwn derbyn

Mae pontio yn cyfuno rhyngwyneb ffisegol a dyfais TAP yn swits meddalwedd, felly mae dyfeisiau anghysbell yn ymuno â’r un parth darllediad. Gallu go iawn a risg go iawn yw hyn: nid yw’r ddyfais anghysbell bellach yn westai llwybredig, mae’n gyfranogwr.

Penderfynwch pa ddyfeisiau a gaiff ymuno, pa fathau o ffrâm sydd i groesi, a lle y caiff rhyngweithio diangen ei rwystro. Daw cyfeirio ac awdurdod DHCP yn rhan o’r rhwydwaith a rennir, ac mae dau weinydd DHCP ar un segment yn cynhyrchu’r llanast yr ydych yn ei ddisgwyl.

Ar gyfer yr offeryn, mae segment prawf pwrpasol fel arfer yn ffitio’n well na LAN y swyddfa. Cadwch fynediad rheoli y tu allan i’r arbrawf, a diffiniwch sut y caiff y cyfranogwr dros dro ei dynnu pan ddaw’r gwaith i ben.

Mae hidlo yn bodoli yn y ddau dopoleg

Nid yw pont yn annichonadwy ei hidlo, ac nid yw llwybr yn ddiogel o reidrwydd. Mae gan hidlo pont Linux ei fachau ei hun a’i gystrawen reolau ei hun, ac nid yw rheol a ysgrifennwyd ar gyfer anfon IP llwybredig yn berthnasol yn awtomatig i fframiau pont.

Gwiriwch yr hyn y mae’r platfform yn ei gefnogi mewn gwirionedd cyn addo ffin:

bridge link show
nft list ruleset

Mae TUN a TAP yn disgrifio traffig y rhyngwyneb, nid y seiffr. Nid yw newid rhyngwynebau yn trwsio dim o hynny: mae dilysu cyfoedion, allwedd wedi’i dwyn, a pholisi cryptograffeg hen ffasiwn i gyd yn goroesi’r newid. Mae’r ddau ben yn dal i fod angen gosodiadau sy’n cyd-fynd ac sy’n dal i gael eu cefnogi.

Profwch y ffin â thri chynnig

Tri arsylwad yw derbyniad, nid adolygiad diagram. Rhaid i’r gweithrediad gofynnol weithio, rhaid i gyrchfan anghysylltiedig fethu, a rhaid i wasanaethau rheoli’r giât ei hun aros allan o gyrraedd.

Rhedwch y llwybrau a ganiateir a’r rhai a wrthodir o’r un cleient, a chofnodwch y ddau:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Ar gyfer pont, ychwanegwch y gwiriadau ar lefel cyswllt: a yw’r traffig darganfod a ganiateir yn croesi, a yw cyfeirio yn dod o’r awdurdod a fwriadwyd, ac a yw’r cyfranogwr dros dro wedi diflannu ar ôl ei dynnu. Pan fo IP llwybredig plaen eisoes yn diwallu’r gofyniad, mae ymuno â segment Ethernet y swyddfa angen cyfiawnhad ar wahân, a dylid ei ysgrifennu cyn y newid.