Täht ja kodarad või täisvõrk: milline VPN-topoloogia sobib teie asukohtadele

Kaks harukontorit räägivad terve päeva omavahel, ja nende vaheline tunnel teeb ringi läbi teise piirkonna andmekeskuse. Iga päring maksab selle ringi eest kaks korda, ja keegi ei märka seda enne, kui failisünkroniseerimine hakkab valesti tunduma. Siin algabki topoloogia küsimus tõeliselt: mitte sellega, milline skeem tundub vastupidavam, vaid sellega, millise liiklusmustri eest te maksate. Mõlemad lahendused töötavad ja nad ebaõnnestuvad erineval viisil erineva hinnaga.

Loendage partnerite suhted enne kõike muud

N asukoha puhul vajab täisvõrk N korda N miinus üks, jagatud kahega, tunnelit; jaotur vajab N. Viie asukoha puhul on see kümme viie vastu, mis kõlab veel juhitavana. Viieteistkümne puhul on see 105 viieteistkümne vastu ja erinevus ei ole enam aritmeetika, vaid personal.

Igaüks neist suhetest kannab olekut, mida peate omama. IPsecis tähendab see turbeseost, identiteeti, võtit või sertifikaati, surnud partneri avastamist ja vähemalt ühte marsruuti iga kaugema eesliite kohta. WireGuardis tähendab see avalikku võtit ja AllowedIPs plokki iga partneri kohta, mis on partneri kohta odavam, kuid tuleb täiesti ilma avastamiseta: uus asukoht on ikkagi konfiguratsioonimuudatus igas olemasolevas.

Las otsustab liikluse segu, mitte joonis

Kui harude liiklus on peamiselt päringud keskse ERP-i või failiklastri vastu, ei ole jaotur kompromiss, see on õige kuju: liiklus tahtis juba sinna minna, ja üht poliitikapunkti on lihtsam auditeerida kui paarisuhete võrku. Võrk teenib oma keerukust välja siis, kui harud vahetavad omavahel andmeid — replikatsioon kahe kontori vahel, hääl asukohtade vahel, jagatud CAD-kaust, mille tosin inseneri avavad terve päeva.

Ebamugavad juhtumid on vahepeal ja neid on enamik. Mõõtke enne vaidlemist, selle asemel et organisatsiooniskeemilt oletada.

Lugege tabelit otsustajana, mitte reeglina. Kolm neljast reast ühes suunas otsustab kavandi tavaliselt; lõhe tähendab hübriidi, milleni enamik küpseid võrke niikuinii jõuab.

Jaoturile tuleb öelda, et see edastaks

Kaks töötavat kodara-jaoturi tunnelit ei loo kodara-kodara juurdepääsu. Jaotur vajab sisse lülitatud IP-edastust, marsruuti iga kodara võrku, tulemüürireeglit, mis lubab läbikäiku, ja välja arvutatud tagasiteed; iga kodar vajab marsruuti teise asukoha eesliidete jaoks. Linuxi jaoturil on see net.ipv4.ip_forward=1 pluss FORWARD ahel, mis ei viska paari vaikselt ära, ja poliitikal põhinevas IPsecis on need liiklusvalijad, mis loetlevad kaugema kodara alavõrgu mõlemas otsas. StrongSwani edastamise märkmed katavad tuuma ja tulemüüri poole, kui just see kiht teil puudu on. Odav test on saata liiklus ühest kodarast teise teenusesse ja jälgida jaoturi loendureid; reegel, mis kunagi ei suurene, tähendab, et järjekord on vale, mitte marsruut.

Keskne poliitika on ka see kasulik osa. Harudele saab lubada jagatud teenustele ilma üksteiseni jõudmata, ja see juurdepääsumaatriks tasub selgesõnaliselt kirja panna. Puuduvad marsruudid on halb asendus reeglile, mida keegi lugeda saab.

Jälgige poolikut versiooni: kodar A marsruudib kodarani B läbi jaoturi, jaotur marsruudib mõlemas suunas ja jaoturi tulemüür lubab uusi ühendusi A-st, kuid mitte B-st. Esimene suund testib hästi ja teine jääb rippuma, mis näeb välja nagu marsruutimisviga ja ei ole seda.

Kavandage esmalt rike, siis tavaline tee

Üksik jaotur on jagatud sõltuvus ja läbikäigu kitsaskoht, ja liiasus on koht, kus jaoturiga kavandid tavaliselt nurja lähevad. Kaks jaoturit tähendavad, et iga kodar hoiab kahte tunnelit, ja tagasitee peab väljaminevaga kokku sobima; kui ei sobi, viskab olekut pidav tulemüür vastused ära ja sümptom on ühendus, mis avaneb ja siis sureb. Suuremad paigaldused lahendavad selle tunnelite kohal töötava marsruutimisprotokolliga staatiliste eesliidete asemel, mis on rohkem masinaid, kuid eemaldab oletamise. Mida iganes te valite, kirjutage tagasitee väljamineva kõrvale, sest just tagumist poolt ei testi keegi.

Võrk hajutab selle riski: ühe asukoha lingi kukkumine ei isoleeri teisi. See ka paljundab kohti, kus teede valik võib teid üllatada, ja rakenduste sessioonid ei ela ikkagi tee muutumist üle ilma abita.

Kumbki kavand ei hoia TCP-sessiooni üle failoveri iseenesest elus. Kui rakendus ei suuda uuesti ühenduda, ei ole topoloogia teie probleem.

Valige muudatuse hinna järgi, seejärel kontrollige marsruudid

Alustage jaoturist, sest see on odavam asi, milles eksida, ja lisage otsetunnelid neile paaridele, mille liiklus seda õigustab. See hübriid ei ole otsustamatuse märk; see on kavand, milleni enamik organisatsioone jõuab aasta jooksul. Tähtis on, et igal otselingil oleks nimetatud põhjus ja omanik.

Seejärel kontrollige kahte joonist, mitte ühte. Tavalise tee jaoks traceroute igast asukohast igasse teenuse eesliitesse ja kinnitage, et hüpped vastavad skeemile. Rikketee jaoks lülitage üks tunnel välja ja korrake, sest marsruut, mis töötab ainult siis, kui kõik on üleval, ei ole projekteeritud, vaid ainult konfigureeritud.

Hoidke mõlemad joonised koos juurdepääsumaatriksiga ja vaadake need üle, kui asukoht lisandub; hind, mida te juhite, on järgmise muudatuse hind, mitte praeguse pildi elegantsus.