Du LAN-oj en NetBird: kiuj samtavolanoj enkursigas kaj kiu rajtas paroli

Labortablo en la okcidenta LAN malfermas retumilon, tajpas la adreson de aplikaĵo en la orienta LAN kaj atendas ĝis ĝi fiaskas pro tempolimo. Ĉiu ekrano de NetBird diras, ke la samtavolanoj estas konektitaj, kio veras kaj maltrafas la punkton: esti en unu supertavola reto ne samas al havi la du lokajn subretojn en unu reto. La promeno sube komenciĝas ĉe tiu labortablo kaj finiĝas per peto, kiun la dezajno intence rifuzas, kaj ĉiu halto estas io, kion oni legas de aparato anstataŭ konjekti. Atendu, ke la mankanta peco estas enkursigo aŭ politiko, ne la supertavolo.

Unue legu la fiaskon de la labortablo

Antaŭ ol malfermi la administran konsolon, konstatu, kion la labortablo efektive sendas. Ĝia propra enkursiga tabelo decidas, ĉu la pakaĵo iras al la pordego de la loko, al loka interfaco aŭ nenie, kaj tiu decido videblas sen iu ajn supertavola ilo. Maŝino sen enkursigo por la malproksima prefikso fiaskos, kiel ajn sana la samtavolana listo aspektos. La supertavola gamo kaj la propra prefikso de la loko estas malsamaj adresspacoj, kaj la aliĝo agordis nur unu el ili.

Poste apartigu nomrezolvon de atingeblo, ĉar retumilo raportas ambaŭ kiel la saman tempolimon. Ripetu la peton laŭ adreso de maŝino, kiu rulas la NetBird-klienton, poste de ordinara labortablo, kiu ne rulas ĝin. Se la aliĝinta maŝino sukcesas kaj la ordinara fiaskas, la breĉo estas en loka enkursigado; se ambaŭ fiaskas, daŭrigu legi antaŭ ol ŝanĝi enkursigon.

Elektu unu enkursigan samtavolanon por loko

Enkursiga samtavolano estas gastiganto, kiu reprezentas sian LAN en la supertavolo, do elektu Linuksan maŝinon kun stabila atingeblo al la subreto anstataŭ ies skribotablan labortablon. Aliĝu ĝin per la normala procezo kaj metu ĝin en grupon nomitan laŭ la rolo, ĉar la reta rimedo kaj la politiko ambaŭ referencos tiun grupon. Unu reprezentanto por loko restas legebla; amaso da volontuloj anoncantaj la saman prefikson igas ĉiun postan demandon sencimiga seanco. La adreso de la samtavolano en la loka segmento gravas same kiel ĝia identeco en la supertavolo, ĉar tiu adreso fariĝas la sekva salteto, kiun oni diras al ĉiu ordinara aparato.

Skribu la planon antaŭ ol tuŝi la konsolon, ĉar nomoj kaj prefiksoj estas kie tiuj dezajnoj drivas: prefikso, pordego, samtavolana adreso kaj grupo, por loko. Okcidento estas 10.52.0.0/24 servata de 10.52.0.5 kaj oriento estas 10.63.0.0/24 servata de 10.63.0.5; la du grupoj estas west-routers kaj east-routers, kaj neniu prefikso rajtas interkovri la alian, la supertavolan gamon aŭ alian enkursigitan celon.

Kreu la rimedon, lasu maskadon ŝaltita

En la disfaldita panelo, kreu unu retan rimedon por loko kaj alligu al ĝi la grupon de enkursigaj samtavolanoj de tiu loko. La rimedo estas la prefikso kaj la grupo estas la gastiganto, kiu respondas por ĝi, kaj ambaŭ devas ekzisti antaŭ ol io ajn estos anoncita. Konfirmu, ke la disfaldita memgastigita versio entute havas la laborfluon Retoj, ĉar pli malnova interfaco kun simile nomita enkursiga objekto estas alia funkcio.

Lasu maskadon ŝaltita. La gvidilo de NetBird pri loko-al-loko postulas ĝin en ĉi tiu aranĝo, kaj malŝalti ĝin por teni ĉiun originalan adreson videbla ne estas la sama dezajno kun unu salteto malpli; ĝi ŝanĝas, kion vidas la fontkontroloj kaj politikoj de la supertavolo. La sekvo indas diri rekte: la ricevanta servo registras la enkursigan samtavolanon kiel fonton, ne la unuopan labortablon. Se la permeslisto aŭ revizio de tiu servo atendas labortablajn adresojn, aŭ la atendo ŝanĝiĝas, aŭ la identeco devas esti trudita ĉe la loka limo antaŭ tradukado.

Rajtigu la iniciatojn, ne la prefiksojn

Enkursigo faras adreson atingebla kaj politiko decidas, kiu rajtas uzi ĝin; la du estas apartaj objektoj kun apartaj posedantoj. Skribu la politikon de la laborŝarĝo malantaŭen: kiu grupo iniciatas, kiun rimedon ĝi celas kaj kiun TCP-servon ĝi bezonas. Reto, kiu anoncas ambaŭ prefiksojn al ĉiu aliĝinta samtavolano, kreis atingeblon kaj solvis nenion.

Poste legu, kio alia jam estas permesita, ĉar mallarĝa nova regulo ne nuligas larĝan malnovan, kiu staras super ĝi. Kiam oriento ankaŭ devas komenci konektojn al okcidento, skribu tiun direkton kiel propran politikon; revena trafiko por seanco, kiun okcidento malfermis, estas alia demando ol permesi novajn seancojn orienten. Se nur kelkaj okcidentaj labortabloj devas atingi la orientan aplikaĵon, elektu ilin ĉe la loka limo antaŭ tradukado kaj konservu la propran aŭtentikigon de la aplikaĵo. La enkursiga samtavolano portas LAN-trafikon kiel la tutan lokon kaj ne kiel supertavolan identecon por uzanto, do poruzanta kalkulado devas veni de aliloke.

Lernigu al ĉiu pordego la sekvan salteton, poste testu rifuzon

La ordinaraj aparatoj neniam vidas la supertavolon, do ilia propra pordego bezonas statikan enkursigon, kiu direktas la malproksiman prefikson al la LAN-adreso de la enkursiga samtavolano. Tio estas la paŝo, kiun homoj preterlasas, ĉar ĉio videbla ene de NetBird jam funkcias, dum ordinaraj labortabloj ankoraŭ tempolimas. La pordego konservas sian defaŭltan enkursigon kiel ĝi estis; ĉi tiu prefikso estas aldono, ne anstataŭigo.

La du enkursigaj priskriboj apartenas al la pordega agordo de ĉiu loko, ne al superregado sur la gastiganto. Ambaŭ estas ordinaraj statikaj enkursigoj, kaj neniu tuŝas la defaŭltan enkursigon:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Testu per la aplikaĵo, kiun la projekto vere bezonas, de ordinara labortablo, kaj registru tri aferojn: la sekvan salteton elektitan ĉe la senda flanko, la politikon, kiu kongruis, kaj la fontadreson, kiun la servo registris. Testu ankaŭ rifuzon, ĉar dezajno, kiu neniam rifuzis ion, havas nekonatajn randojn, kaj la rifuzo estas la sola pruvo, ke la politiko kaj ne la enkursigado faras la laboron. Kiam oriento ankaŭ devas iniciati, komencu novan konekton de tiu flanko anstataŭ supozi, ke la dua direkto sekvas. Planu ankaŭ la restartigon, ĝisdatigon kaj anstataŭigon de la enkursiga samtavolano, ĉar unu gastiganto fariĝis dependaĵo de la loko.

Privataj nomoj bezonas sian propran rezolvilan dezajnon, ĉar atingeblo ne kreas DNS-rikordojn kaj funkcianta IP-vojo kun rompita nomo legiĝas ĝuste kiel rompita vojo. Se enkursiga samtavolano ruliĝas ene de nuba reto, revizuu ankaŭ la plusendajn kaj fajroŝirmilajn regulojn de la provizanto, ĉar aliĝo ne superregas ilin. Tenu la observojn de la testo apud la plano, ĉar la venonta persono, kiu sencimigos ĉi tion, volos la kongruan politikon kaj la registritan fontadreson, ne priskribon de la topologio.