Haririk gabeko lotura babes gisa: bideratutako kommutazioa edo segmentu bakarra?

Bi eraikin, puntutik punturako irrati bat eta bigarren bide gisa balio dezakeen interneteko VPN bat. Babesa automatikoa bihurtu aurretik, galdera batek ia gainerako guztia erabakitzen du: zerk iraun behar du — subred bereizien arteko IP irisgarritasunak edo Ethernet segmentu partekatu bakarrak? Irratiak kable gisa jokatzeak ez du argudiorik ematen difusio-marko bakoitza internetetik bidaltzeko. Erantzun lehenengo galderari, zeren bi erantzunek begizten kontrol desberdina, osasun egiaztapen desberdinak eta berreskurapenak zer esan nahi duen gaineko ideia desberdinak eskatzen dituzte.

Zehaztu zer iraun behar duen etenalditik

Zerrendatu funtzionatzen jarraitu behar duten aplikazioak eta idatzi Layer 3 irisgarritasunaren edo Layer 2 albokotasunaren mende dauden. Fitxategi partekatzeak, datu-baseko konexioek eta web zerbitzuek normalean bideak soilik dituzte hizpide; aurkikuntza protokoloek, kluster produktu batzuek eta difusio-domeinu bakarra espero duen edozerk albokotasuna dute hizpide. Irisgarritasun mota okerra berreskuratzen duen babesak teknikoki konektatutako eta praktikan erabilgaitza den gune bat sortzen du.

Idatzi zerrenda hori eta erantsi diseinuari, zeren erantzunak normalean mugitzen baita lehen aplikazio-jabeak lotura berriaren berri izaten duenean.

Bideratutako kommutazioa: bi aurrizki, bide hobetsi bat

Gune aurrizki bereiziekin, babesa bideratze arazoa da. Bideratzaile bakoitzak irratiaren gaineko bide hobetsi bat eta tunelaren gaineko bide gutxiago hobetsi bat ditu, eta bide hobetsia kentzen da irratiak trafikoa emateari uzten dionean. Beste aldeak bere itzulera-bidea behar du, eta bi aldeek adostu behar dute zein bide den hobetsia noranzko bakoitzean, trafikoak noranzko bakarrean soilik bide luzea har ez dezan.

ip route show | grep -E '10.44\.|10.45\.'
ip route get 10.45.0.10
ip route get 10.45.0.10 from 10.44.0.1

Irakurri hirugarren komandoa bigarrena bezala: politika arau batek, bigarren taula batek edo iturburuan oinarritutako erabaki batek subred bateko trafikoa beste batetik ezberdin bidal dezake, eta bilaketa lehenetsi bakar batek hori ezkutatzen du.

Zubituako kommutazioa: segmentu bat, bide blokeatzaile bat

Albokotasuna benetan beharrezkoa bada, babesak Ethernet markoak garraiatu behar ditu, eta bideratutako IP tunel batek ez du hori egiten. VPN interfazea tokiko segmentu batean zubikatzea plataforma batzuek onartzen dute, eta interfaze horiek zubi kide bihurtzen dira ondorioekin. Aldi berean birbidaltzen duten bi Layer 2 bidek begizta bat eratzen dute, beraz diseinuak bi guneak hartzen dituen hedapen-zuhaitz bat eta zein bide blokeatu behar den dioen adierazpen argia behar ditu.

Diseinu erabaki garrantzitsua da hau, eta ez kontrol-lauki bat, eta zure plataformaren zubi dokumentazioa, adibidez pfSense-ren zubien ikuspegi orokorra, VPN kide batek benetan zertan parte hartzen duen baieztatzeko lekua da. Erlazionatutako ez den gailu batean hedapen-zuhaitz aukera bat gaitzeak ez du ezer frogatzen muturretik muturrera arteko antolaketaz.

Zaindu axola duen muga

Elikatutako irrati batek, igotako interfaze batek eta tunel osasuntsu batek tokiko egitate bat deskribatzen dute bakoitzak. Horietako batek ere ez du frogatzen eraikin batetik datorren paketea beste eraikineko ostalari batera iritsi zenik, eta hori da kommutazio logikak jokatu behar duen egitate bakarra. Zaindu urruneko bideratzailetik harago dagoen helburu bat politikak uzten badu, eta zaindu bi noranzkoak bereizita porrot asimetrikoa ikusgai izan dadin.

ping -c 3 -W 2 10.45.0.10
ip -brief link show dev wlan0
ip route get 10.45.0.10

Eduki ezazu egiaztapena merkea eta mugatua: tarte laburra, kopuru txikia eta aplikazioaren tolerantziari egokitzen zaion itxaronaldi-denbora. Proben ari den bidearen mende bera dagoen monitore batek arrakasta emango du ezer emateari uzten dion unera arte.

Praktikatu bi noranzkoak kargapean

Ez kopiatu konbergentzia helburu bakarra beste norbaiten topologiatik. Detekzio denborak, bide edo zubi konbergentziak, tunelaren prestutasunak eta aplikazioaren berreskurapenak bakoitzak bere atzerapena gehitzen du, eta zure ekipoan batura da axola duen zenbaki bakarra. Praktikatu trafiko adierazgarria dabilen bitartean, neurketak produkzioan dauden ilarak eta saioak sartzeko.

sudo ip link set dev wlan0 down
ip route get 10.45.0.10
sudo ip link set dev wlan0 up
ip route get 10.45.0.10

Probatu berreskurapena porrota bezain arretaz. Sarrera-irteera egiten duen irrati ezegonkor batek trafikoa alde batetik bestera eramango du lehentasun logikak indargetzerik ez badu, eta erabiltzaileek etenaldi bakarreko garbia baino okerrago bizitzen dute. Erregistratu bide hautatua etapa bakoitzean, zein eskaera berri izan ziren arrakastatsu eta bidea aldatu zenean irekita zeuden saioekin zer gertatu zen. Erregistro horrek bihurtzen du bigarren kable bat eragiketa politika.