Hab eta erradioak edo sare osoa: zein VPN topologia egokitzen zaien zure gunei
Bi tunel funtzionatzen ari izatea ez da topologia bat. Konparatu transitioa, hutsegiteen portaera eta aldaketaren kostua hab, sare edo esteka zuzen batzuk dituen hab bat aukeratu aurretik.
Bi sukurtsal bulego egun osoan hitz egiten ari dira elkarrekin, eta haien arteko tunelak beste eskualde bateko datu zentro batetik egiten du itzulia. Eskaera bakoitzak itzuli horren truke bi aldiz ordaintzen du, eta inork ez du nabaritzen fitxategien sinkronizazioa gaizki sentitzen hasi arte. Hemen hasten da topologiaren galdera benetan: ez zein diagramak erresistenteago ematen duen, baizik eta zein trafiko ereduren truke ordaintzen duzun. Bi diseinuek funtzionatzen dute, eta modu desberdinetan huts egiten dute kostu desberdinekin.
Zenba itzazu pareen arteko erlazioak, beste edozer baino lehen
N guneekin, sare oso batek N bider N ken bat, zati bi, tunel behar ditu; hab batek N behar ditu. Bost gunetan hamar dira bostaren aurka, oraindik kudeagarria dirudi. Hamabostetan 105 dira hamabostaren aurka, eta aldea ez da jada aritmetikoa, pertsonala baizik.
Erlazio horietako bakoitzak zuk eduki behar duzun egoera darama. IPsec-en horrek segurtasun elkarte bat, identitate bat, gako edo ziurtagiri bat, pare hilen detekzioa eta urruneko aurrizki bakoitzeko gutxienez ibilbide bat esan nahi du. WireGuard-en gako publiko bat eta AllowedIPs pare bakoitzeko bloke bat esan nahi du, pare bakoitzeko merkeagoa baina aurkikuntzarik gabea: gune berri bat konfigurazio aldaketa da lehendik dagoen bakoitzean, edozein modutan.
Utzi trafiko nahasketari erabakitzen, ez marrazkiari
Sukurtsalen trafikoak ERP zentral bateko edo fitxategi kluster bateko eskaerak badira batez ere, haba ez da konpromiso bat, forma zuzena da: trafikoak jada hara joan nahi zuen, eta politika puntu bakarra errazagoa da ikuskatzen pare bakoitzeko arauen sare bat baino. Sareak bere konplexutasuna irabazten du sukurtsalek elkarrekin datuak trukatzen dituztenean — bi bulegoen arteko errepika, guneen arteko ahotsa, dozena bat ingeniari egun osoan irekitzen duten CAD partekatua.
Kasuak deserosoak erdian daude, eta gehiengoa dira. Neurtu eztabaidatu aurretik, organigramatik asmatu beharrean.
| Seinalea | Habera bideratzen du | Sare batera bideratzen du |
|---|---|---|
| Sukurtsalen arteko trafikoa | Noizean behin, txikia | Nagusia, egun osoan |
| Gune kopurua | Hazten, hamar baino gehiago | Txikia eta egonkorra |
| Aldaketa tasa | Gehiketak eta lekualdatze sarriak | Bitxia |
| Hutsegiteen tolerantzia | Bigarren haba eskuragarria da | Gune bakoitzak bakarrik iraun behar du |
Irakurri taula berdinketa hausteko irizpide gisa, ez arau gisa. Lau errenkadatatik hiruk norabide bakar batera jotzen dutenean, diseinua erabaki ohi da; zatiketa batek hibridoa esan nahi du, eta horixe egiten dute sare helduek, edozein modutan.
Habari esan behar zaio birbidaltzeko
Bi erradio-hab tunel funtzionatzen ari direnak ez dute erradio-arteko sarbiderik sortzen. Habak IP birbidalketa gaituta behar du, erradio bakoitzaren sarera ibilbide bat, transitioa baimenduko duen suebaki araua eta itzulera bidea kalkulatuta; erradio bakoitzak beste gunearen aurrizkietarako ibilbide bat behar du. Linux habe batean hori net.ipv4.ip_forward=1 gehi FORWARD pareari isilka uzten ez dion katea da, eta politiketan oinarritutako IPsec-en trafiko hautatzaileak dira erradio urruneko azpisarea bi muturretan zerrendatzen dutenak. strongSwan-en birbidalketa oharrak nukleoaren eta suebakiaren aldea estaltzen dute, falta zaizun geruza hori denean. Proba bat merkea da: erradio batetik bestearen zerbitzu batera trafikoa bidali eta habaren kontagailuei begiratzea; inoiz igotzen ez den arauak ordena okerra dela esan nahi du, ez ibilbidea.
Politika zentrala ere atal erabilgarria da. Sukurtsalei zerbitzu partekatuak iristeko baimena eman dakieke elkar iritsi gabe, eta sarbide matrize hori merezi du espresuki idaztea. Falta diren ibilbideak ordezko txarra dira arau bat irakur dezakeenarentzat.
Kontuz erdi egindako bertsioarekin: erradio A habaren bidez bideratzen da erradio Brera, habak bi norabideetan bideratzen du, eta habaren suebakiak A-tik datozen konexio berriak uzten ditu, baina ez B-tik. Lehen norabidea ondo probatzen da eta bigarrena zintzilik geratzen da, eta horrek bideratze hutsegitea dirudi, baina ez da.
Diseinatu hutsegitea, gero bide normala
Hab bakarra menpekotasun partekatua eta transitu lepoa da, eta erredundantzia da hab diseinuek huts egiten duten tokia. Bi habeek erradio bakoitzak bi tunel eusten dituela esan nahi dute, eta itzulera bideak irteerakoarekin bat etorri behar du; bat ez datorrenean, egoera duen suebaki batek erantzunak botatzen ditu eta sintoma irekitzen eta gero hiltzen den konexio bat da. Hedapen handiagoek tuneleen gaineko bideratze protokolo batekin konpontzen dute, aurrizki estatikoen ordez, tresna gehiago baina asmatzea kentzen duena. Edozer aukeratu ere, idatzi itzulera bidea irteerakoaren ondoan, inork probatzen ez duena itzulerako erdia baita.
Sareak arrisku hori sakabanatzen du: gune baten esteka erortzeak ez ditu besteak isolatzen. Bide hautaketak harritu zaitzakeen lekuak ere biderkatzen ditu, eta aplikazio saioek ez dute bide aldaketa laguntzarik gabe gainditzen oraindik.
Bi diseinuetatik batek ere ez du TCP saio bat bizirik mantentzen failover batean zehar bere kabuz. Aplikazioa berriz konektatu ezin bada, topologia ez da zure arazoa.
Aukeratu aldaketaren kostuaren arabera, eta egiaztatu ibilbideak
Hasi habarekin, oker egoteko gauzarik merkeena baita, eta gehitu tunel zuzenak trafikoak justifikatzen dituen pareentzat. Hibrido hori ez da erabakitzeko ezintasuna; erakunde gehienek urtebeten buruan lortzen duten diseinua da. Garrantzitsua da esteka zuzen bakoitzak arrazoi adierazia eta jabea izatea.
Gero egiaztatu bi marrazkiak, bat baino. Bide normalerako, traceroute gune bakoitzetik zerbitzu aurrizki bakoitzera eta baieztatu jauziek diagramarekin bat egiten dutela. Hutsegite biderako, itzali tunel bat eta errepikatu, dena martxan dagoen bitartean bakarrik funtzionatzen duen ibilbidea ez baita diseinatu, konfiguratu baizik.
Gorde bi marrazkiak sarbide matrizearekin batera, eta berrikusi itzazu gune bat gehitzen denean; kudeatzen duzun kostua hurrengo aldaketaren kostua da, ez oraingo irudiaren dotoretasuna.