Enkursigita VPN aŭ pontita LAN por ligilo inter filio kaj laboratorio

Estas du manieroj igi filion atingi hejman laboratorion, kaj la diferenco ne estas agordo. Vi povas enkursigi inter apartaj prefiksoj, tiel ke ĉiu ejo konservas sian propran dissendan domajnon, aŭ vi povas ponti la du LAN-ojn en unu, tiel ke dissendoj kaj malkovra trafiko kondutas kvazaŭ ĉiuj estus en la sama ĉambro. Enkursigado estas la projekto, kiu postvivas kontakton kun reala reto. Pontado estas la projekto, kiu faciligas la unuan semajnon kaj interesigas la unuan paneon. La komparo sube temas pri tio, kion ĉiu donas al vi kaj kion ĝi kostas, sekvata de tio, kiel igi la enkursigitan version testebla.

Du manieroj konekti, unu evidenta kompromiso

Enkursigita ligilo traktas la hejman laboratorion kiel foran reton kun propra adresado. La filio petas la prefikson de la laboratorio, la tunelo transportas tiujn pakaĵojn, kaj la pordego de la laboratorio respondas el sia propra subreto. Nenio en la ARP-tabelo de la filio ŝanĝiĝas, kaj nenio el la DHCP-amplekso de la laboratorio atingas la filion.

Pontita ligilo etendas unu solan tavolon 2-domajnon trans ambaŭ ejoj. Malkovraj protokoloj funkcias, aparatoj aperas aŭtomate, kaj ĉiu dissendo, ĉiu ARP-peto kaj ĉiu multdissenda pakaĵo nun estas kandidato por transiri la tunelon, do granda kvanto da trafiko portata de protokoloj konstruitaj por loka segmento kaj ne por WAN kun alia MTU kaj varia rondvoja tempo.

Kion enkursigado donas al vi

La unua avantaĝo estas la damaĝa radiuso. Buklo, malbona DHCP-servilo aŭ dissenda inundo restas en la ejo, kiu ĝin produktis, ĉar enkursigilo ne plusendadas dissendojn. La dua estas adresada klareco: la filia prefikso kaj la laboratoria prefikso estas apartaj, do la celo de pakaĵo diras al vi, kiu ejo devas respondi, kaj fajroŝirma regulo povas diri «filio al laboratoria subreto» anstataŭ «ĉie al ĉie».

La tria estas, ke ĝi kongruas kun tio, kion la tunelo efektive transportas. IPsec-politiko estas paro da prefiksoj, kaj la plusenda vojo ĉe ĉiu flanko estas ordinara IP-enkursigado kun plusendado ŝaltita sur la pordego:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Tion, kion vi cedas, estas malkovro per dissendo. Tio estas reala perdo, kaj ĝi devus esti anstataŭigita konscie anstataŭ ĉirkaŭirita per pontado de ĉio.

Kion kostas pontado

Pontado devas porti tavolajn 2-kadrojn trans tunelon, kio signifas enkapsuligon kiel GRE aŭ VXLAN super IPsec anstataŭ simpla politik-bazita tunelo. Post kiam tio ekzistas, la du ejoj dividas fiaskan domajnon. Spanning tree vidas la tunelon kiel ligilon, dissenda trafiko konsumas tunelan bendolarĝon, kaj ĉiu aparato, kiu supozas segmenton kun malalta latenteco, miskondutas sin tiel, ke estas malfacile atribui ĝin de iu ajn fino.

Ĝi ankaŭ forigas la adresan kontrolon, kiu tenas vin honesta. Kun unu ebena prefikso, duobla adreso ne estas enkursiga eraro sed du gastigantoj, kiuj silente ŝtelas unu de la alia la trafikon, kaj koincidaj prefiksoj inter filio kaj laboratorio estas oftaj en hejmaj laboratoriaj aranĝoj, do pontado ne solvas tiun konflikton; ĝi disdonas ĝin.

La sekureca argumento estas tiu, kiu kutime decidas. Ponto etendas la segmenton, sur kiu funkcias ligilaj lokaj protokoloj, do aparato en la filio povas paroli kun laboratoriaj aparatoj, kiuj neniam devis esti atingeblaj de ekstere. Se la laboratorio havas hipervizoron, konservan konzolon kaj administran interfacon sur la sama ebena reto, tio nun estas unu segmento kune kun la filio.

Nomoj sen dissendo

La kialo, ke homoj pontas, estas kutime malkovro: printilo, aŭdvida aparato aŭ laboratoria gastiganto, kiu neniam aperas en listo. La enkursigita respondo estas noma servo. Publikigu la laboratoriajn gastigantojn en zono, kiun la solvilo de la filio povas atingi, kaj poste lasu la uzantojn konektiĝi laŭ nomo anstataŭ skani la reton. Tio estas pli da laboro komence kaj konsiderinde malpli da laboro ĉe ĉiu estonta ŝanĝo.

Multdissenda malkovro estas la pli malfacila kazo, kaj ĝi meritigas precizecon. Protokoloj kiel mDNS uzas ligil-lokan multdissendon, kiun enkursigiloj ne plusendadas defaŭlte, do laboratoria gastiganto mankanta en malkovra listo povas ankoraŭ esti atingebla ĉe sia dokumentita adreso. Se specifa servo vere postulas multdissendon, planu tiun unu protokolon, kun reflektilo aŭ celita plusenda regulo, anstataŭ ponti la tutan LAN-on kiel ĝeneralan riparon.

Ankaŭ reflektilo ne estas senpaga gajno. Ĝi importas la saman babilan trafikon, kiun vi provis eviti, unu servon post la alia, kaj ĝi bezonas posedanton, kiu rimarkos, kiam aparato komencas anonci pli ol antaŭe. Elektu ĝin laŭ servo, kaj skribu kial. Notu, kiu servo bezonis ĝin kaj kion ĝi anoncas, ĉar firmvara ĝisdatigo povas ŝanĝi tiun liston sen diri al iu.

Igu la enkursigitan projekton testebla

Elektu unu celon, ekzemple retinterfacon de la laboratorio sur propra servila subreto, kaj pruvu ĝin en ambaŭ direktoj. De gastiganto en la filio, konfirmu la adreson kaj la aŭskultantan servon loke, poste konektiĝu tra la tunelo kaj ripetu. Tunelo, kiu staras, pruvas, ke la pordegoj konsentas; ĝi pruvas nenion pri la gastiganta fajroŝirmilo aŭ la revena vojo.

La normala pordego de la laboratorio bezonas vojon reen al la filia prefikso, krom se la projekto konscie tradukas la fonton, kaj la fajroŝirmilo de la servilo mem devas akcepti la permesitan foran intervalon. Neniun el ili agordas sukcesa tunelo. La plusendaj notoj de strongSwan priskribas la pakaĵan vojon, kiu devas funkcii ĉe ĉiu flanko.

Poste provu ankaŭ malpermesitan celon. Filia uzanto, kiu bezonas unu aplikaĵon, ne bezonas la hipervizoran konzolon, kaj la sola maniero scii, ke la politiko estas reala, estas provi ĝuste tion, kion ĝi devus rifuzi. Notu la prefiksojn, la solvilan dependon kaj la testajn rezultojn, kaj estonta ŝanĝo ĉe iu ajn ejo povas esti reviziita en minutoj anstataŭ rekonstruita el memoro.