VPN gunearen hedapena: jarrai ezazu itzulera-bidea atebideaz haratago

Adar bateko trafikoa atebide batean amaitzen da, eta haren LANak ez du lortzeko eskatu zizuten aplikazioa biltzen. Zerbitzaria bigarren datu-zentro batean dago, VPNak inoiz konfiguratu ez zuen barne-esteka baten bestaldean. Atebide hurbilari beste aurrizki bat gehitzeak ez du ezer egiten kasu horretarako, zeren urrutiko atebidea enkriptatze-muturra baita, ez azken bideratzailea. Bideak aurreranzko bide bat, urrutiko segurtasun-mugan onarpen bat eta helmugaren sarean bertan itzultzeko erabaki bat behar ditu.

Urrutiko atebidea enkriptatze-muturra da

Atebideen arteko IPsec-ek bi segurtasun-gailuren arteko trafikoa babesten du, eta barne-helbideak enkriptatuta zeharkatzen dute segmentu hori. Urrutiko atebideaz haratago bideratze arruntak hartzen du, datu-zentroen artean dagoen edozein politikarekin batera. Beraz, babestutako segmentuak bidaia zati bat estaltzen du, eta ez gainerakoa. Aurkakoa suposatzea da diseinu bat tunel osasuntsu eta aplikazio iristezin batekin amaitzeko modua.

Marraztu bidea hiru zatitan: adarra atebide hurbilera, hurbila urrutikora, urrutiko atebidea aplikaziora. Zati bakoitzak bere jabea eta bere hutsegite-modua ditu.

Irakurri tunelaren politikaren bi noranzkoak

Tunelaren politika tokiko aldearen ikuspegitik idazten da normalean, eta ohitura horretatik datoz konfigurazio partzialak. Bi pareek adarraren iturburua eta helmuga zerrendatu behar dituzte tunelean agertuko diren bezala, diseinuak nahi duen itzulpena barne. Soilik mutur hurbila eguneratzeak bigarren faseko desdoitze bat sortzen du, bideratze-hutsegite baten itxura duena. Konparatu bi politika-multzoak edozein bide ukitzen hasi aurretik.

Idatzi iturburua eta helmuga helbide gisa, eta ez gune-izen gisa. Anbiguotasuna hemen geroago asimetria nahasgarri gisa itzultzen da.

Gehitu aurreranzko bidea eta berretsi onarpena

Urrutiko atebideak aplikazioaren azpisarera bidea behar du, eta haien arteko bideratzaile bakoitzak adarraren iturburua onartu behar du. Egiazta ezazu urrutiko atebideak benetan duena, diagramak dioena beharrean.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Lehen komandoak urrutiko atebideak iturburu horretarako aukeratuko lukeen irteera-interfazea eta hurrengo jauzia jakinarazten ditu, bideratze-taulera arrunt batek erantzun ezin duen galdera. Trazak erakusten du non gelditzen diren paketeak, eta urrutiko atebidearen ondorengo eten batek barne-trantsitoa seinalatzen du, ez tunela. Bidea badago eta trafikoa hala ere desagertzen bada, har ezazu urrutiko atebidean eta irakurri iristen den iturburu-helbidea, ezusteko helbide batek itzulpena nonbait planifikatu gabe gertatzen ari dela esan nahi baitu. Hemen helbide guztiak leku-markak dira, beraz ordeztu benetako adar-, trantsito- eta aplikazio-azpisareak.

Probatu adarretik, eta gero probatu berriro bide zaharra

Onarpenak benetako iturburua behar du, eta ez urrutiko atebideko zunda bat. Exekutatu egiaztapena adarreko ostalari batetik eta atxiki aurretik funtzionatzen zuten helmugak proba berean.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Aplikazioaren erantzunak aurreranzko bidea eta itzulera-bidea batera frogatzen ditu, eta helmuga zaharrari egindako ping-ak frogatzen du aldaketak ez zuela hautsi jada funtzionatzen zuena. Atxiki aplikazioak erregistratzen duen iturburu-helbidea, haren sarbide-arauak eta edozein itzulera-bide balio horrekin bat etorri behar baitira. Adarrak tunelearen aurretik itzultzen duen tokian, politikaren helbidea eta aplikazioak ikusten duen helbidea diseinuz desberdinak dira, beraz erregistratu biak. Errepikatu proba gakoa berritzearen edo bideratze-aldaketaren ondoren, bide hauek behin balidatu eta gero ahaztu ohi baitira.

Esleitu jabe bat hiru segmentuetako bakoitzari eta helmugaren sarean barruko itzulera-bideari. Lau jabe dituen bide batek haien arteko hutsuneetan egiten du hutsegite.