Bi VPN bezero mahaigain bakarrean: zer talka egiten duen eta zer dabilen

Bi bezerok biderik lehenetsia, resolver-a eta iragazki kontrolatzaileak partekatzen dituzte. Idatzi nor den irteeraren jabea, eta gero bereizi bigarren tunela VM edo netns baten bidez.

Zure bigarren bezeroa konektatzen da, lehenengoaren baliabideak ezin dira resolvitu, eta tiketak dio laneko VPN-ak pertsonala hautsi duela. Ez dago ezer hautsirik errore baten zentzuan: bi bezeroek diseinatu zirena egin zuten, eta makinak ibilbide-taula bakarra du. Talka lau baliabideren gainekoa da, bezero bakoitzak bereak direla suposatzen dituenak. Joan horietatik ordenan, eta konponketa normalean diseinu-erabaki bihurtzen da, konponketa hutsa baino gehiago.

1. urratsa: aurkitu zein bezerok duen irteera

Irakurri uneko irteera-erabakia ezer aldatu aurretik. Helbide publiko baterako ibilbide-kontsultak esaten dizu zein interfaz eta hurrengo jauzi erabiliko lituzkeen pakete batek orain, eta hori da nork irabazi duen erantzuna. Konparatu bezeroek sortutako interfaz-izenekin, normalean produktuaren edo protokoloaren izena daramatenak. Kontsultak espero ez zenituen tunelera eramaten badu, talka aurkitu duzu jada.

ip route get 1.1.1.1
ip route show default
route print

Bezero batzuek ez dute biderik lehenetsia ordezkatzen; bi erdi gehitzen dituzte, bat helbide-espazioaren beheko erdirako eta beste bat goiko erdirako, elkarrekin dena estaltzen dutenak. Horrek jatorrizko biderik lehenetsia ikusgai uzten du eta eskuzko konponketa zuzena ematen du, trafikoa oraindik tuneletik ateratzen den bitartean. Irakurri metrika eta aurrizkiaren luzera, ez soilik lehenetsitako sarrera bat dagoen.

Gelditu bi bezeroek metrika berarekin aurrizki bera eskatzen badute. Kernela bat aukeratuko du, eta besteak konektatuta emango du ezer garraiatu gabe.

2. urratsa: egiaztatu resolver-a eta gainjartzen diren aurrizkiak

DNS bigarren talka da, eta sintoma bereizgarria sortzen du: izenek huts egiten dute helbideek funtzionatzen duten bitartean. Bezero bakoitzak bere resolver-a inposatzen du, eta azken idazleak irabazten du ondorengo kontsultetarako. Galdetu resolver zerbitzuari esteka bakoitzeko zer erabiltzen duen, bezeroaren ezarpen-orria irakurri beharrean.

resolvectl status
Get-DnsClientServerAddress
dig +short intranet.corp.example

Gero konparatu bi sareek erabiltzen dituzten aurrizki pribatuak. Bi aldeek barruti beretik esleitzen badute, bezero aldeko edozein moldaketak ez du konponduko, makinak ezin baitu esan zein 10.0.0.0/8 helmuga dagokion zein tuneli. Alde bat berzenbakutatu edo itzuli behar da, eta hori sarearen jabeekin hitz egitea da, ez konfigurazioa aldatzea. Gainjartzea da erantzun zintzoa diseinua aldatu behar dela den talka bakarra.

Gelditu hemen aurrizkiek gainjartzen badute. Zerrenda honetako ondorengo guztiak ez direla gainjartzen suposatzen du.

3. urratsa: aukeratu eusten duen bereizketa-eredu bat

Eredu fidagarriek bi bezero ibilbide-taula beraren aurka exekutatzea saihesten dute. Bezero bakarra bi sare pribatuetara iristen den split-tunnel politikarekin da sinpleena, helmugak gainjartzen ez badira eta politikaren jabeak ados badago. Makina birtual bat edo sare-izen-espazio bat da hurrengo urratsa, bakoitzak bere taula eta bere resolver-a baititu.

sudo ip netns add vpn2
sudo ip netns exec vpn2 ip link show
sudo ip netns exec vpn2 curl -sI https://intranet.corp.example/

Izen-espazioak makina birtualaren bereizketa bera ematen du bigarren sistema eragilerik gabe, baino ertz zakarrak ditu: tunel-gailua bertan sartu behar da, eta aplikazioa bertan abiarazi behar da. Gailu fisiko bereizi bat da askotan aukerarik gutxien harritzen duena VPN pertsonalerako, kudeatutako laneko bezero baten ondoan. Tunel bat beste baten barruan pilatzea ez da bereizketa-eredua; barruko muturrak kanpoko tuneletik irisgarri jarraitu behar du, eta moldaketak MTU eta latentzia arazoak gehitzen ditu gainera.

Aukeratu eredu bat eta idatzi zergatik. Aplikazio baterako izen-espazioa eta gainerakoetarako split-tunnel bat nahasteak jatorrizko talka birsortzen du arazteko zailagoa den forman.

4. urratsa: egiaztatu bi sareak saio beretik

Probatu baliabide bat sare pribatu bakoitzean aplikazioa benetan exekutatzen den ingurunetik, ez zure shell-etik aplikazioa izen-espazio baten barruan badabil. Egiaztatu irteerako interfaza, resolvatu den helbidea eta erantzun-kodea elkarrekin, hiruretako batean arrakastak besteetan huts egitea ezkuta baitezake. Errepikatu berrabiarazi ondoren, bezeroek abiatzeko ordenak erabakitzen baitu nork irabazi. Ordena hori da jendeak erregistratzen ahazten duena.

curl -sI https://intranet.corp.example/
curl -sI https://files.personal.example/
ip route get 10.20.30.40

Erregistratu bezeroen bertsioak, interfazak, resolver-aren egoera eta sare bakoitzeko aurrizkiak. Bezero bat eguneratu eta bere ibilbide-portaera aldatzen denean, erregistro hori bost minutuko konponketaren eta berreraikuntzaren arteko aldea da. Hurrengo pertsonak ez du zure memoria partekatuko zein tunel igo zen lehenengo.

Zerrenda osoa da biderik lehenetsia duen interfaza, izen bakoitzak erabiltzen duen resolver-a, bigarren tunela bereizten duen eredua eta berrabiarazi ondoren sare bakoitzeko eskaera baten emaitza izenda ditzakezunean. Horiek baino gutxiago gaur kasualitatez funtzionatzen duen konfigurazioa da.

Erlazionatutako artikuluak