VPN-eja etendo: sekvu la revenan itineron preter la enirejo

Trafiko de filio finiĝas sur enirejo, kies LAN ne enhavas la aplikaĵon, kiun oni petis vin atingi. La servilo troviĝas en dua datumcentro, trans interna ligo, kiun la VPN neniam agordis. Aldoni alian prefikson al la proksima enirejo faras nenion por tiu kazo, ĉar la malproksima enirejo estas finpunkto de ĉifrado, ne la lasta enkursigilo. La vojo bezonas pluan itineron, enlason ĉe la malproksima sekureca limo kaj revenan decidon en la propra reto de la celo.

La malproksima enirejo estas finpunkto de ĉifrado

IPsec inter enirejoj protektas trafikon inter du sekurecaj aparatoj, kaj la internaj adresoj vojaĝas ĉifritaj trans tiu segmento. Preter la malproksima enirejo ekregas ordinara enkursigado, inkluzive de ajna politiko, kiu ekzistas inter datumcentroj. La protektita segmento do kovras parton de la vojaĝo kaj ne la restaĵon. Supozi la kontraŭon estas kiel dezajno finiĝas kun sana tunelo kaj neatingebla aplikaĵo.

Desegnu la vojon en tri partoj: filio al proksima enirejo, proksima al malproksima enirejo, malproksima enirejo al la aplikaĵo. Ĉiu parto havas sian propran posedanton kaj sian propran malsukcesan reĝimon.

Legu ambaŭ direktojn de la tunela politiko

Tunela politiko kutime estas skribata el la perspektivo de la loka flanko, kaj ĝuste tiu kutimo originas partajn agordojn. Ambaŭ partneroj devas listigi la filian fonton kaj la celon tiel, kiel ili aperos ene de la tunelo, inkluzive de ajna traduko, kiun la dezajno celas. Ĝisdatigi nur la proksiman finon produktas miskongruon de la dua fazo, kiu aspektas kiel enkursiga fiasko. Komparu la du politikarojn antaŭ ol tuŝi ajnan itineron.

Skribu fonton kaj celon kiel adresojn, ne kiel ejajn nomojn. Ambigueco ĉi tie poste reaperas kiel konfuza nesimetrio.

Aldonu la pluan itineron kaj konfirmu la enlason

La malproksima enirejo bezonas itineron al la aplikaĵa subreto, kaj ĉiu enkursigilo inter ili devas enlasi la filian fonton. Kontrolu, kion la malproksima enirejo efektive havas, anstataŭ kion asertas la diagramo.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

La unua komando raportas la eligan interfacon kaj la sekvan salton, kiujn la malproksima enirejo elektus por tiu fonto, demando, kiun ordinara enkursiga tabelo ne povas respondi. La spuro montras, kie pakaĵoj haltas, kaj rompo post la malproksima enirejo indikas internan transiton, ne la tunelon. Kiam la itinero ekzistas kaj trafiko tamen malaperas, kaptu sur la malproksima enirejo kaj legu la alvenantan fontadreson, ĉar neatendita adreso signifas, ke tradukado okazas ie neplanite. Ĉiuj adresoj ĉi tie estas lokokupiloj, do anstataŭigu la realajn subretojn de filio, transito kaj aplikaĵo.

Testu el la filio, poste retestu la malnovan vojon

Akcepto bezonas realan fonton, ne sondadon el la malproksima enirejo. Rulu la kontrolon el filia gastiganto kaj konservu la antaŭe funkciantajn celojn en la sama testoj.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Respondo de la aplikaĵo pruvas la antaŭan vojon kaj la revenan vojon kune, dum la ping al la malnova celo pruvas, ke la ŝanĝo ne rompis tion, kio jam funkciis. Kaptu la fontadreson, kiun la aplikaĵo protokolas, ĉar ĝiaj aliraj reguloj kaj ajna revena itinero devas kongrui kun tiu valoro. Kie la filio tradukas antaŭ la tunelo, la politika adreso kaj la adreso, kiun la aplikaĵo vidas, malsamas laŭdezajne, do registru ambaŭ. Ripetu la teston post ŝlosila renovigo aŭ enkursiga ŝanĝo, ĉar tiuj vojoj emas esti validigitaj unufoje kaj poste forgesitaj.

Doni posedanton al ĉiu el la tri segmentoj kaj al la revena itinero ene de la cela reto. Vojo kun kvar posedantoj malsukcesas en la breĉoj inter ili.