Δρομολογημένο VPN ή γεφυρωμένο LAN για σύνδεση υποκαταστήματος με εργαστήριο

Υπάρχουν δύο τρόποι για να φτάσει ένα υποκατάστημα σε ένα οικιακό εργαστήριο, και η διαφορά δεν είναι ρύθμιση. Μπορείτε να δρομολογήσετε μεταξύ διακριτών προθεμάτων, ώστε κάθε τοποθεσία να διατηρεί το δικό της πεδίο εκπομπής, ή να γεφυρώσετε τα δύο LAN σε ένα, ώστε οι εκπομπές και η κίνηση ανακάλυψης να συμπεριφέρονται σαν όλοι να βρίσκονταν στο ίδιο δωμάτιο. Η δρομολόγηση είναι ο σχεδιασμός που αντέχει την επαφή με ένα πραγματικό δίκτυο. Η γεφύρωση είναι ο σχεδιασμός που κάνει την πρώτη εβδομάδα εύκολη και την πρώτη βλάβη ενδιαφέρουσα. Η σύγκριση παρακάτω αφορά το τι δίνει το καθένα και πόσο κοστίζει, και στη συνέχεια το πώς να κάνετε τη δρομολογημένη εκδοχή ελέγξιμη.

Δύο τρόποι σύνδεσης, ένα προφανές αντάλλαγμα

Μια δρομολογημένη σύνδεση αντιμετωπίζει το οικιακό εργαστήριο ως απομακρυσμένο δίκτυο με δική του διευθυνσιοδότηση. Το υποκατάστημα ζητά το πρόθεμα του εργαστηρίου, η σήραγγα μεταφέρει αυτά τα πακέτα και η πύλη του εργαστηρίου απαντά από το δικό της υποδίκτυο. Τίποτα στον πίνακα ARP του υποκαταστήματος δεν αλλάζει, και τίποτα από το εύρος DHCP του εργαστηρίου δεν φτάνει στο υποκατάστημα.

Μια γεφυρωμένη σύνδεση εκτείνει ένα μόνο πεδίο 2ου επιπέδου και στις δύο τοποθεσίες. Τα πρωτόκολλα ανακάλυψης λειτουργούν, οι συσκευές εμφανίζονται αυτόματα, και κάθε εκπομπή, κάθε αίτημα ARP και κάθε πακέτο multicast είναι τώρα υποψήφιο να διασχίσει τη σήραγγα, δηλαδή μεγάλη ποσότητα κίνησης που μεταφέρεται από πρωτόκολλα σχεδιασμένα για τοπικό τμήμα και όχι για WAN με άλλο MTU και μεταβλητό χρόνο μετάβασης και επιστροφής.

Τι σας δίνει η δρομολόγηση

Το πρώτο πλεονέκτημα είναι η ακτίνα ζημιάς. Ένας βρόχος, ένας ανεπιθύμητος διακομιστής DHCP ή μια πλημμύρα εκπομπών μένει στην τοποθεσία που το παρήγαγε, επειδή ένας δρομολογητής δεν προωθεί εκπομπές. Το δεύτερο είναι η σαφήνεια της διευθυνσιοδότησης: το πρόθεμα του υποκαταστήματος και το πρόθεμα του εργαστηρίου είναι διακριτά, οπότε ο προορισμός ενός πακέτου σας λέει ποια τοποθεσία πρέπει να απαντήσει, και ένας κανόνας τείχους προστασίας μπορεί να πει «υποκατάστημα προς υποδίκτυο εργαστηρίου» αντί «οπουδήποτε προς οπουδήποτε».

Το τρίτο είναι ότι ταιριάζει με αυτό που μεταφέρει πραγματικά η σήραγγα. Μια πολιτική IPsec είναι ένα ζεύγος προθεμάτων, και η διαδρομή προώθησης σε κάθε πλευρά είναι συνηθισμένη δρομολόγηση IP με την προώθηση ενεργοποιημένη στην πύλη:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Αυτό από το οποίο παραιτείστε είναι η ανακάλυψη μέσω εκπομπής. Είναι πραγματική απώλεια και πρέπει να αντικατασταθεί σκόπιμα, όχι να παρακαμφθεί με γεφύρωση των πάντων.

Τι κοστίζει η γεφύρωση

Η γεφύρωση πρέπει να μεταφέρει πλαίσια 2ου επιπέδου μέσα από σήραγγα, που σημαίνει ενθυλάκωση όπως GRE ή VXLAN πάνω από IPsec αντί για απλή σήραγγα βασισμένη σε πολιτική. Μόλις αυτό υπάρχει, οι δύο τοποθεσίες μοιράζονται ένα πεδίο αστοχίας. Το Spanning tree βλέπει τη σήραγγα ως ζεύξη, η κίνηση εκπομπών καταναλώνει εύρος ζώνης της σήραγγας, και κάθε συσκευή που υποθέτει τμήμα με χαμηλή καθυστέρηση συμπεριφέρεται λάθος με τρόπους δύσκολο να αποδοθούν από οποιοδήποτε άκρο.

Αφαιρεί επίσης τον έλεγχο διευθυνσιοδότησης που σας κρατά έντιμους. Με ένα επίπεδο πρόθεμα, μια διπλή διεύθυνση δεν είναι σφάλμα δρομολόγησης αλλά δύο κεντρικοί υπολογιστές που κλέβουν σιωπηλά την κίνηση ο ένας του άλλου, και τα επικαλυπτόμενα προθέματα μεταξύ υποκαταστήματος και εργαστηρίου είναι κοινά σε οικιακές εργαστηριακές εγκαταστάσεις, οπότε η γεφύρωση δεν λύνει αυτή τη σύγκρουση· τη διανέμει.

Το επιχείρημα ασφαλείας είναι αυτό που συνήθως αποφασίζει. Μια γέφυρα εκτείνει το τμήμα στο οποίο λειτουργούν τα πρωτόκολλα τοπικής ζεύξης, οπότε μια συσκευή στο υποκατάστημα μπορεί να μιλήσει με συσκευές του εργαστηρίου που δεν έπρεπε ποτέ να είναι προσβάσιμες από έξω. Αν το εργαστήριο έχει hypervisor, κονσόλα αποθήκευσης και διεπαφή διαχείρισης στο ίδιο επίπεδο δίκτυο, τώρα αυτό είναι ένα τμήμα μαζί με το υποκατάστημα.

Ονόματα χωρίς εκπομπή

Ο λόγος που οι άνθρωποι γεφυρώνουν είναι συνήθως η ανακάλυψη: ένας εκτυπωτής, μια συσκευή πολυμέσων ή ένας κεντρικός υπολογιστής του εργαστηρίου που δεν εμφανίζεται ποτέ σε λίστα. Η δρομολογημένη απάντηση είναι μια υπηρεσία ονομάτων. Δημοσιεύστε τους κεντρικούς υπολογιστές του εργαστηρίου σε ζώνη που μπορεί να φτάσει ο resolver του υποκαταστήματος, και μετά αφήστε τους χρήστες να συνδέονται με όνομα αντί να σαρώνουν το δίκτυο. Αυτό είναι περισσότερη δουλειά στην αρχή και σημαντικά λιγότερη δουλειά σε κάθε μελλοντική αλλαγή.

Η ανακάλυψη multicast είναι η δυσκολότερη περίπτωση, και αξίζει ακρίβεια. Πρωτόκολλα όπως το mDNS χρησιμοποιούν multicast τοπικής ζεύξης, το οποίο οι δρομολογητές δεν προωθούν εξ ορισμού, οπότε ένας κεντρικός υπολογιστής του εργαστηρίου που λείπει από μια λίστα ανακάλυψης μπορεί να είναι ακόμη προσβάσιμος στη διεύθυνση που έχει τεκμηριωθεί. Αν μια συγκεκριμένη υπηρεσία απαιτεί πραγματικά multicast, σχεδιάστε αυτό το ένα πρωτόκολλο, με ανακλαστήρα ή στοχευμένο κανόνα προώθησης, αντί να γεφυρώσετε ολόκληρο το LAN ως γενική επισκευή.

Ούτε ο ανακλαστήρας είναι δωρεάν νίκη. Εισάγει την ίδια φλύαρη κίνηση που προσπαθούσατε να αποφύγετε, μία υπηρεσία τη φορά, και χρειάζεται ιδιοκτήτη που θα προσέξει όταν μια συσκευή αρχίσει να διαφημίζει περισσότερα από πριν. Επιλέξτε τον ανά υπηρεσία και γράψτε γιατί. Καταγράψτε ποια υπηρεσία τον χρειάστηκε και τι διαφημίζει, επειδή μια ενημέρωση υλικολογισμικού μπορεί να αλλάξει αυτή τη λίστα χωρίς να πει σε κανέναν.

Κάντε τη δρομολογημένη εκδοχή ελέγξιμη

Επιλέξτε έναν στόχο, για παράδειγμα μια διεπαφή web του εργαστηρίου στο δικό του υποδίκτυο διακομιστών, και αποδείξτε τον και στις δύο κατευθύνσεις. Από έναν κεντρικό υπολογιστή στο υποκατάστημα επιβεβαιώστε τοπικά τη διεύθυνση και την υπηρεσία που ακούει, μετά συνδεθείτε μέσω της σήραγγας και επαναλάβετε. Μια σήραγγα που είναι σηκωμένη αποδεικνύει ότι οι πύλες συμφωνούν· για το τείχος προστασίας του κεντρικού υπολογιστή ή την επιστροφική διαδρομή δεν αποδεικνύει τίποτα.

Η κανονική πύλη του εργαστηρίου χρειάζεται διαδρομή επιστροφής προς το πρόθεμα του υποκαταστήματος, εκτός αν ο σχεδιασμός μεταφράζει σκόπιμα την πηγή, και το τείχος προστασίας του ίδιου του διακομιστή πρέπει να δέχεται το επιτρεπόμενο απομακρυσμένο εύρος. Κανένα από τα δύο δεν διαμορφώνεται από μια επιτυχημένη σήραγγα. Οι σημειώσεις προώθησης του strongSwan περιγράφουν τη διαδρομή των πακέτων που πρέπει να λειτουργεί σε κάθε πλευρά.

Στη συνέχεια δοκιμάστε και έναν απορριφθέντα προορισμό. Ένας χρήστης του υποκαταστήματος που χρειάζεται μία εφαρμογή δεν χρειάζεται την κονσόλα του hypervisor, και ο μόνος τρόπος να ξέρετε ότι η πολιτική είναι πραγματική είναι να δοκιμάσετε ακριβώς αυτό που θα έπρεπε να αρνηθεί. Καταγράψτε τα προθέματα, την εξάρτηση από τον resolver και τα αποτελέσματα των δοκιμών, και μια μελλοντική αλλαγή σε οποιαδήποτε τοποθεσία μπορεί να εξεταστεί σε λίγα λεπτά αντί να ξαναχτιστεί από μνήμης.