VPN-saidi laiendus: järgige tagasiteed lüüsist kaugemale

Harukontori liiklus lõpeb lüüsis, mille LAN ei sisalda rakendust, kuhu teil paluti jõuda. Server asub teises andmekeskuses, üle sisemise ühenduse, mida VPN kunagi ei seadistanud. Teise prefiksi lisamine lähimale lüüsile ei tee selle juhtumi jaoks midagi, sest kaugem lüüs on krüpteerimise lõpp-punkt, mitte viimane ruuter. Tee vajab edasist marsruuti, luba kaugemal turvapiiril ja tagasiotsust sihtvõrgu enda sees.

Kaugem lüüs on krüpteerimise lõpp-punkt

Lüüsist lüüsi IPsec kaitseb liiklust kahe turvaseadme vahel ja sisemised aadressid liiguvad selles lõigus krüpteeritult. Kaugemast lüüsist edasi võtab üle tavaline marsruutimine, sealhulgas mis tahes poliitika, mis andmekeskuste vahel kehtib. Kaitstud lõik katab seega osa teekonnast, mitte ülejäänut. Vastupidise eeldamine on see, kuidas disain jõuab terve tunnelini ja kättesaamatu rakenduseni.

Joonistage tee kolmes osas: haru lähima lüüsini, lähem kaugele lüüsini, kaugem lüüs rakenduseni. Igal osal on oma omanik ja oma rikkerežiim.

Lugege tunneli poliitika mõlemat suunda

Tunneli poliitika kirjutatakse tavaliselt kohaliku poole vaatenurgast ja just sellest harjumusest tulevad osalised konfiguratsioonid. Mõlemad partnerid peavad loetlema haru allika ja sihtkoha nii, nagu need tunnelis ilmuvad, sealhulgas mis tahes tõlge, mida disain kavatseb. Ainult lähema otsa uuendamine tekitab teise faasi mittevastavuse, mis näeb välja nagu marsruutimistõrge. Võrrelge kahte poliitikakomplekti enne, kui mis tahes marsruuti puudutate.

Kirjutage allikas ja sihtkoht aadressidena, mitte saidinimedena. Ebaselgus siin ilmub hiljem uuesti mõistatusliku asümmeetria kujul.

Lisage edasine marsruut ja kinnitage luba

Kaugemale lüüsile on vaja marsruuti rakenduse alavõrku ja iga ruuter nende vahel peab haru allika lubama. Kontrollige, mis kaugemal lüüsil tegelikult on, mitte mida diagramm väidab.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Esimene käsk teatab väljundliidese ja järgmise hüppe, mille kaugem lüüs selle allika jaoks valiks, ning see on küsimus, millele tavaline marsruutimistabel vastata ei suuda. Jälg näitab, kus paketid peatuvad, ja katkestus pärast kaugemat lüüsi osutab sisemisele transiidile, mitte tunnelile. Kui marsruut on olemas ja liiklus siiski kaob, tehke kaugemal lüüsil püüdmine ja lugege saabuv allikaaadress, sest ootamatu aadress tähendab, et tõlkimine toimub kusagil planeerimata. Kõik aadressid siin on kohahoidjad, seega asendage tegelikud haru-, transiidi- ja rakenduse alavõrgud.

Testige harust ja seejärel testige uuesti vana teed

Vastuvõtt vajab tõelist allikat, mitte sondi kaugemalt lüüsilt. Käivitage kontroll harukontori hostist ja hoidke varem töötanud sihtkohad samas testis.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Rakenduse vastus tõestab edasist teed ja tagasiteed koos, samal ajal kui ping vanasse sihtkohta tõestab, et muudatus ei rikkunud seda, mis juba töötas. Jäädvustage allikaaadress, mille rakendus logib, sest selle juurdepääsureeglid ja mis tahes tagasimarsruut peavad selle väärtusega sobima. Kui haru tõlgib enne tunnelit, erinevad poliitika aadress ja aadress, mida rakendus näeb, disaini järgi, seega registreerige mõlemad. Korrake testi pärast võtme uuendamist või marsruutimismuudatust, sest neid teid valideeritakse tavaliselt üks kord ja siis unustatakse.

Määrake omanik kõigile kolmele lõigule ja tagasimarsruudile sihtvõrgu sees. Nelja omanikuga tee ebaõnnestub nendevahelistes tühikutes.