VPN llwybriedig neu LAN bontiedig ar gyfer cysylltiad cangen â labordy

Mae dwy ffordd i wneud i gangen gyrraedd labordy cartref, ac nid gosodiad yw'r gwahaniaeth. Gallwch lwybrwyo rhwng rhagddodiadau ar wahân, fel bod pob safle'n cadw ei barth darlledu ei hun, neu gallwch bontio'r ddau LAN yn un, fel bod darllediadau a thraffig darganfod yn ymddwyn fel pe bai pawb yn yr un ystafell. Llwybro yw'r dyluniad sy'n goroesi cysylltiad â rhwydwaith go iawn. Pontio yw'r dyluniad sy'n gwneud yr wythnos gyntaf yn hawdd a'r difygiad cyntaf yn ddiddorol. Mae'r gymhariaeth isod yn ymwneud â'r hyn y mae pob un yn ei roi a beth mae'n ei gostio, ac yna sut i wneud y fersiwn llwybriedig yn brofadwy.

Dwy ffordd o gysylltu, un fasnach amlwg

Mae cysylltiad llwybriedig yn trin y labordy cartref fel rhwydwaith pell gyda'i gyfeiriadu ei hun. Mae'r gangen yn gofyn am ragddodiad y labordy, mae'r twnnel yn cario'r pecynnau hynny, ac mae porth y labordy yn ateb o'i is-rwydwaith ei hun. Nid oes unrhyw beth yn newid yn nhabl ARP y gangen, ac nid oes unrhyw ran o gwmpas DHCP y labordy yn cyrraedd y gangen.

Mae cysylltiad pontiedig yn ymestyn un parth haen 2 ar draws y ddau safle. Mae protocolau darganfod yn gweithio, mae dyfeisiau'n ymddangos yn awtomatig, ac mae pob darllediad, pob cais ARP a phob pecyn multicast bellach yn ymgeisydd i groesi'r twnnel, sef llawer iawn o draffig a gludir gan brotocolau a gynlluniwyd ar gyfer segment lleol ac nid ar gyfer WAN ag MTU gwahanol ac amser mynd a dod sy'n amrywio.

Beth mae llwybro yn ei roi i chi

Y fantais gyntaf yw radiws y difrod. Mae dolen, gweinydd DHCP digroeso neu lifogydd darlledu yn aros yn y safle a'i cynhyrchodd, oherwydd nid yw llwybrydd yn anfon darllediadau ymlaen. Yr ail yw eglurder cyfeiriadu: mae rhagddodiad y gangen a rhagddodiad y labordy yn wahanol, felly mae cyrchfan pecyn yn dweud wrthych pa safle a ddylai ateb, a gall rheol wal dân ddweud «cangen i is-rwydwaith y labordy» yn lle «unman i unman».

Y trydydd yw ei fod yn cyfateb i'r hyn y mae'r twnnel yn ei gludo mewn gwirionedd. Mae polisi IPsec yn bâr o ragddodiadau, ac mae'r llwybr anfon ar bob ochr yn llwybro IP cyffredin gydag anfon ymlaen wedi'i alluogi ar y borth:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Yr hyn yr ydych yn ei roi i fyny yw darganfod trwy ddarllediad. Mae hynny'n golled go iawn, ac fe ddylid ei ddisodli'n fwriadol yn hytrach na'i osgoi trwy bontio popeth.

Cost pontio

Rhaid i bontio gludo ffrâm haen 2 trwy dwnnel, sy'n golygu ymgorffori fel GRE neu VXLAN dros IPsec yn hytrach na thwnnel syml sy'n seiliedig ar bolisi. Unwaith y bydd hynny'n bodoli, mae'r ddau safle'n rhannu un parth methiant. Mae spanning tree yn gweld y twnnel fel dolen, mae traffig darlledu'n bwyta lled band y twnnel, ac mae unrhyw ddyfais sy'n tybio segment ag oedi isel yn ymddwyn yn anghywir mewn ffyrdd sy'n anodd eu priodoli o'r naill ben na'r llall.

Mae hefyd yn cael gwared ar y gwiriad cyfeiriadu sy'n eich cadw'n onest. Gydag un rhagddodiad fflat, nid yw cyfeiriad dyblyg yn gamgymeriad llwybro ond dau westeidydd sy'n sleifio traffig ei gilydd, ac mae rhagddodiadau sy'n gorgyffwrdd rhwng cangen a labordy yn gyffredin mewn trefniadau labordy cartref, felly nid yw pontio'n datrys y gwrthdaro hwnnw; mae'n ei wasgaru.

Y ddadl diogelwch sydd fel arfer yn penderfynu. Mae pont yn ymestyn y segment y mae protocolau cyswllt lleol yn gweithio arno, felly gall dyfais yn y gangen siarad â dyfeisiau labordy nad oeddynt erioed i fod yn gyrhaeddadwy o'r tu allan. Os oes gan y labordy hypervisor, consol storio a rhyngwyneb rheoli ar yr un rhwydwaith fflat, mae hwnnw bellach yn un segment gyda'r gangen.

Enwau heb ddarllediad

Y rheswm dros bontio yn aml yw darganfod: argraffydd, dyfais gyfryngau neu westeidydd labordy nad yw byth yn ymddangos mewn rhestr. Yr ateb llwybriedig yw gwasanaeth enwau. Cyhoeddwch westeidyddion y labordy mewn parth y gall datryswr y gangen ei gyrraedd, yna gadewch i ddefnyddwyr gysylltu trwy enw yn lle sganio'r rhwydwaith. Mae hynny'n fwy o waith i ddechrau ac yn llai o waith o lawer ar bob newid yn y dyfodol.

Darganfod multicast yw'r achos anoddach, ac mae'n haeddu manwl gywirdeb. Mae protocolau fel mDNS yn defnyddio multicast cyswllt lleol, nad yw llwybryddion yn ei anfon ymlaen yn ddiofyn, felly gall gwesteidydd labordy sy'n eisiau o restr darganfod fod yn gyrhaeddadwy o hyd ar ei gyfeiriad dogfennol. Os oes angen multicast ar wasanaeth penodol mewn gwirionedd, cynlluniwch y protocol hwnnw'n unig, gyda myfyrydd neu reol anfon wedi'i thargedu, yn hytrach na phontio'r LAN gyfan fel atgyweiriad cyffredinol.

Nid yw myfyrydd yn ennill am ddim chwaith. Mae'n mewnforio'r un traffig siaradus yr oeddech yn ceisio'i osgoi, un gwasanaeth ar y tro, ac mae angen perchennog a fydd yn sylwi pan fydd dyfais yn dechrau hysbysebu mwy nag o'r blaen. Dewiswch ef fesul gwasanaeth, ac ysgrifennwch pam. Cofnodwch pa wasanaeth oedd ei angen a beth mae'n ei hysbysebu, oherwydd gall diweddariad firmware newid y rhestr honno heb ddweud wrth neb.

Gwnewch y dyluniad llwybriedig yn brofadwy

Dewiswch un targed, er enghraifft rhyngwyneb gwe'r labordy ar ei is-rwydwaith gweinydd ei hun, a'i brofi i'r ddwy gyfeiriad. O westeidydd yn y gangen, cadarnhewch y cyfeiriad a'r gwasanaeth sy'n gwrando yn lleol, yna cysylltwch trwy'r twnnel a'i ailadrodd. Mae twnnel sydd i fyny yn profi bod y pyrth yn cytuno; nid yw'n profi dim am wal dân y gwesteidydd na'r llwybr dychwelyd.

Mae angen llwybr yn ôl i ragddodiad y gangen ar borth arferol y labordy oni bai bod y dyluniad yn cyfieithu'r ffynhonnell yn fwriadol, a rhaid i wal dân y gweinydd ei hun dderbyn yr ystod bell a ganiateir. Nid yw'r naill na'r llall yn cael ei ffurfweddu gan dwnnel llwyddiannus. Mae nodiadau anfon strongSwan yn disgrifio'r llwybr pecynnau sy'n rhaid gweithio ar bob ochr.

Yna profwch gyrchfan a wrthodir hefyd. Nid oes angen consol hypervisor ar ddefnyddiwr cangen sydd angen un cymhwysiad, a'r unig ffordd i wybod bod y polisi'n wir yw rhoi cynnig ar yr union beth y dylai ei wrthod. Cofnodwch y rhagddodiadau, y dibyniaeth ar ddatryswr a chanlyniadau'r profion, a gellir adolygu newid yn y dyfodol yn y naill safle neu'r llall mewn munudau yn hytrach na'i ailadeiladu o gof.