Bideratutako VPNa edo zubitutako LANa adarra eta laborategia lotzeko

Adar bat etxeko laborategira iristeko bi modu daude, eta aldea ez da ezarpen bat. Aurrizki desberdinen artean bideratu dezakezu, toki bakoitzak bere emisio-domeinua mantentzeko, edo bi LANak bat bakarrera zubitu ditzakezu, emisioak eta aurkikuntza-trafikoa denak gela berean daudela bezala jokatzeko. Bideratzea sare erreal batekin harremanetan irauten duen diseinua da. Zubitzea lehen astea erraza eta lehen matxura interesgarria egiten dituen diseinua da. Beheko konparazioa bakoitzak zer ematen duen eta zenbat kostatzen duen da, eta gero bideratutako bertsioa nola probagarri egin.

Bi konexio-modu, truke argi bat

Bideratutako loturak etxeko laborategia bere helbideratze propioa duen urrutiko sare gisa hartzen du. Adarrak laborategiaren aurrizkia eskatzen du, tunelak pakete horiek daramatza, eta laborategiko atebideak bere azpisaretik erantzuten du. Adarraren ARP taulan ezer ez da aldatzen, eta laborategiko DHCP esparrutik ezer ez da adarrera iristen.

Zubitutako loturak 2. geruzako domeinu bakarra bi tokietara zabaltzen du. Aurkikuntza-protokoloak funtzionatzen dute, gailuak automatikoki agertzen dira, eta emisio bakoitza, ARP eskaera bakoitza eta multicast pakete bakoitza tunela zeharkatzeko hautagai dira orain, hau da, tokiko segmentu baterako diseinatutako protokoloek daramaten trafiko kopuru handia, MTU desberdina eta joan-etorriko denbora aldakorra duen WAN baterako diseinatu gabea.

Bideratzeak zer ematen dizun

Lehen onura kaltearen erradioa da. Begizta bat, nahi ez den DHCP zerbitzari bat edo emisio-uholde bat sortu zuen tokian geratzen da, bideratzaileak ez baitu emisiorik birbidaltzen. Bigarrena helbideratzearen argitasuna da: adarraren aurrizkia eta laborategiko aurrizkia desberdinak dira, beraz pakete baten helmugak zein tokik erantzun behar duen esaten du, eta suebaki-arau batek «adarra laborategiko azpisarera» esan dezake «edonondik edonora» esan beharrean.

Hirugarrena tunelak benetan daramanaarekin bat egiten duela da. IPsec politika aurrizki-bikotea da, eta alde bakoitzeko birbidaltze-bidea atebidean birbidaltzea gaituta duen IP bideratze arrunta da:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Uzten duzuna emisio bidezko aurkikuntza da. Benetako galera da, eta nahita ordezkatu behar da dena zubituz saihestu beharrean.

Zubitzearen kostua

Zubitzeak 2. geruzako markoak tunel batetik garraiatu behar ditu, hau da, IPsec gaineko GRE edo VXLAN bezalako kapsulatzea, politiketan oinarritutako tunel soil baten ordez. Hori dagoenean, bi tokiek hutsegite-domeinu bat partekatzen dute. Spanning tree-k tunela esteka gisa ikusten du, emisio-trafikoak tunelaren banda-zabalera jaten du, eta latentzia baxuko segmentu bat suposatzen duen edozein gailuk gaizki jokatzen du mutur batetik zein bestetik egoztea zaila den moduan.

Helbideratze-egiaztapena ere kentzen du, zintzo eusten zaituena. Aurrizki lau bakarrarekin, helbide bikoiztua ez da bideratze-akats bat, elkarri trafikoa isilka lapurtzen dioten bi ostalari baizik, eta adarraren eta laborategiaren arteko aurrizki gainjarriak ohikoak dira etxeko laborategiko muntaketetan, beraz zubitzeak ez du gatazka hori konpontzen; banatu egiten du.

Segurtasun-argudioa izaten da normalean erabakitzen duena. Zubiak esteka lokaleko protokoloak lan egiten duten segmentua zabaltzen du, beraz adarreko gailu batek kanpotik inoiz irisgarri izatekoak ez ziren laborategiko gailuekin hitz egin dezake. Laborategiak hiperbisorea, biltegiratze-kontsola eta kudeaketa-interfazea sare lau berean baditu, orain adarrarekin batera segmentu bakarra da.

Emisiorik gabeko izenak

Jendeak zubitzen duen arrazoia aurkikuntza izaten da: inprimagailu bat, media-gailu bat edo zerrendan inoiz agertzen ez den laborategiko ostalari bat. Bideratutako erantzuna izen-zerbitzu bat da. Argitaratu laborategiko ostalariak adarraren ebazpen-gailuak irits dezakeen eremu batean, eta gero utzi erabiltzaileei izenez konektatzen sareak eskaneatu beharrean. Hori hasieran lan gehiago da eta etorkizuneko aldaketa bakoitzean askoz lan gutxiago.

Multicast aurkikuntza kasu zailena da, eta zehaztasuna merezi du. mDNS bezalako protokoloek esteka lokaleko multicast erabiltzen dute, bideratzaileek lehenespenez birbidaltzen ez dutena, beraz aurkikuntza-zerrendatik falta den laborategiko ostalari bat oraindik irisgarri izan daiteke dokumentatutako helbidean. Zerbitzu jakin batek benetan multicast behar badu, protokolo hori bakarrik planifikatu, islatzaile batekin edo birbidaltze-arau zuzendu batekin, LAN osoa konponketa orokor gisa zubitu beharrean.

Islatzailea ez da doako garaipena ere. Saihestu nahi zenituen trafiko hiztun bera ekartzen du, zerbitzu bat aldiko, eta jabe bat behar du, gailu bat lehengoa baino gehiago iragartzen hastea nabarituko duena. Aukeratu zerbitzu bakoitzeko, eta idatzi zergatik. Erregistratu zein zerbitzuk behar zuen eta zer iragartzen duen, firmware eguneratze batek zerrenda hori inori esan gabe alda baitezake.

Egin bideratutako diseinua probagarri

Aukeratu helburu bat, adibidez laborategiko web interfazea bere zerbitzari azpisare propioan, eta frogatu bi noranzkoetan. Adarreko ostalari batetik, berretsi helbidea eta entzuten ari den zerbitzua tokian, gero konektatu tunelaren bidez eta errepikatu. Zutik dagoen tunel batek atebideak ados daudela frogatzen du; ostalariaren suebakiari edo itzulera-bideari buruz ez du ezer frogatzen.

Laborategiko atebide arruntak adarraren aurrizkira itzultzeko bidea behar du, diseinuak nahita iturburua itzultzen ez badu behintzat, eta zerbitzariaren beraren suebakiak baimendutako urrutiko barrutia onartu behar du. Biak ez ditu tunel arrakastatsu batek konfiguratzen. strongSwanen birbidaltze-oharrek alde bakoitzean lan egin behar duen pakete-bidea deskribatzen dute.

Gero probatu ukatutako helmuga bat ere. Aplikazio bat behar duen adar erabiltzaile batek ez du hiperbisorearen kontsola behar, eta politikak benetakoa den jakiteko modu bakarra ukatzean duen probatzea da. Erregistratu aurrizkiak, ebazpen-gailuaren menpekotasuna eta proben emaitzak, eta edozein tokitan etorkizuneko aldaketa bat memoriatik berreraiki beharrean minutu batzuetan berrikus daiteke.