Reititetty VPN vai sillattu lähiverkko haaratoimiston ja laboratorion yhteyteen

Haaratoimiston voi saada yhteyteen kotilaboratorion kanssa kahdella tavalla, eikä ero ole asetus. Voit reitittää erillisten prefiksien välillä, jolloin kukin toimipiste säilyttää oman lähetysverkkonsa, tai silluttaa kaksi lähiverkkoa yhdeksi, jolloin lähetykset ja löytämisliikenne käyttäytyvät kuin kaikki olisivat samassa huoneessa. Reititys on suunnittelu, joka kestää kosketuksen oikeaan verkkoon. Sillutus on suunnittelu, joka tekee ensimmäisestä viikosta helpon ja ensimmäisestä katkosta mielenkiintoisen. Alla oleva vertailu kertoo, mitä kumpikin antaa ja mitä se maksaa, ja sen jälkeen siitä, miten reititetystä versiosta tehdään testattava.

Kaksi tapaa yhdistää, yksi ilmeinen kompromissi

Reititetty yhteys kohtelee kotilaboratoriota etäverkkona, jolla on oma osoitteistus. Haaratoimisto pyytää laboratorion prefiksin, tunneli kuljettaa ne paketit ja laboratorion yhdyskäytävä vastaa omasta aliverkostaan. Mikään haaratoimiston ARP-taulussa ei muutu, eikä mikään laboratorion DHCP-alueesta saavuta haaratoimistoa.

Sillutettu yhteys laajentaa yhtä kerroksen 2 verkkoa molempiin toimipisteisiin. Löytämisprotokollat toimivat, laitteet ilmestyvät automaattisesti ja jokainen lähetys, jokainen ARP-pyyntö ja jokainen multicast-paketti on nyt ehdokas ylittämään tunnelin, eli suuri määrä liikennettä, jota kuljettavat protokollat on rakennettu paikallista segmenttiä eikä WAN-verkkoa varten, jossa on eri MTU ja vaihteleva edestakainen viive.

Mitä reititys antaa sinulle

Ensimmäinen hyöty on vahingon säde. Silmukka, ei-toivottu DHCP-palvelin tai lähetystulva pysyy toimipisteessä, joka sen aiheutti, koska reititin ei välitä lähetyksiä. Toinen on osoitteistuksen selkeys: haaratoimiston prefiksi ja laboratorion prefiksi ovat erilliset, joten paketin kohde kertoo, minkä toimipisteen pitäisi vastata, ja palomuurisääntö voi sanoa „haaratoimistosta laboratorion aliverkkoon” sen sijaan, että sanoisi „kaikkialta kaikkialle”.

Kolmas on, että se vastaa sitä, mitä tunneli todella kuljettaa. IPsec-käytäntö on prefiksipari, ja välityspolku kummallakin puolella on tavallista IP-reititystä, jossa välitys on kytketty päälle yhdyskäytävässä:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Sen, mistä luovut, on lähetyksiin perustuva löytäminen. Se on todellinen menetys, ja se pitää korvata tarkoituksella eikä kiertää silluttamalla kaikki.

Mitä sillutus maksaa

Sillutuksen on kuljetettava kerroksen 2 kehyksiä tunnelin yli, mikä tarkoittaa kapselointia kuten GRE tai VXLAN IPsecin päällä eikä yksinkertaista käytäntöpohjaista tunnelia. Kun se on olemassa, kaksi toimipistettä jakavat vika-alueen. Spanning tree näkee tunnelin linkkinä, lähetysliikenne kuluttaa tunnelin kaistanleveyttä ja jokainen laite, joka olettaa pienen latenssin segmentin, käyttäytyy väärin tavoilla, joita on kummastakaan päästä vaikea kohdistaa.

Se poistaa myös osoitteistuksen tarkistuksen, joka pitää sinut rehellisenä. Yhdellä litteällä prefiksillä päällekkäinen osoite ei ole reititysvirhe vaan kaksi isäntää, jotka varastavat hiljaa toistensa liikennettä, ja haaratoimiston ja laboratorion päällekkäiset prefiksit ovat tavallisia kotilaboratorioasennuksissa, joten sillutus ei ratkaise tätä ristiriitaa; se jakaa sen.

Turvallisuusargumentti on se, joka yleensä ratkaisee. Silta laajentaa segmentin, jolla link-local-protokollat toimivat, joten haaratoimiston laite voi puhua laboratorion laitteille, joiden ei koskaan pitänyt olla saavutettavissa ulkopuolelta. Jos laboratoriossa on hypervisor, tallennuskonsoli ja hallintaliitäntä samassa litteässä verkossa, se on nyt yksi segmentti yhdessä haaratoimiston kanssa.

Nimet ilman lähetystä

Syy siihen, miksi ihmiset silluttavat, on yleensä löytäminen: tulostin, mediasoitin tai laboratorion isäntä, joka ei koskaan ilmesty listaan. Reititetty vastaus on nimipalvelu. Julkaise laboratorion isännät vyöhykkeellä, jonka haaratoimiston resolveri tavoittaa, ja anna käyttäjien sitten yhdistää nimen perusteella sen sijaan, että he skannaisivat verkkoa. Se on enemmän työtä alussa ja huomattavasti vähemmän työtä jokaisessa tulevassa muutoksessa.

Multicast-löytäminen on vaikeampi tapaus, ja se ansaitsee tarkkuutta. Protokollat kuten mDNS käyttävät link-local multicastia, jota reitittimet eivät oletuksena välitä, joten löytämislistalta puuttuva laboratorion isäntä voi olla yhä tavoitettavissa dokumentoidusta osoitteestaan. Jos tietty palvelu todella vaatii multicastia, suunnittele se yksi protokolla, heijastimella tai kohdennetulla välityssäännöllä, sen sijaan että silluttaisit koko lähiverkon yleisenä korjauksena.

Heijastinkaan ei ole ilmainen voitto. Se tuo sisään saman puheliaan liikenteen, jota yritit välttää, yhden palvelun kerrallaan, ja se tarvitsee omistajan, joka huomaa, kun laite alkaa mainostaa enemmän kuin ennen. Valitse se palveluittain ja kirjoita ylös miksi. Kirjaa, mikä palvelu sitä tarvitsi ja mitä se mainostaa, koska laiteohjelmistopäivitys voi muuttaa sitä listaa kertomatta kenellekään.

Tee reititetystä suunnittelusta testattava

Valitse yksi kohde, esimerkiksi laboratorion verkkoliitäntä omassa palvelinaliverkossaan, ja todista se molempiin suuntiin. Vahvista haaratoimiston isännällä osoite ja kuunteleva palvelu paikallisesti, yhdistä sitten tunnelin kautta ja toista. Pystyssä oleva tunneli todistaa, että yhdyskäytävät ovat samaa mieltä; isännän palomuurista tai paluureitistä se ei todista mitään.

Laboratorion tavallinen yhdyskäytävä tarvitsee reitin takaisin haaratoimiston prefiksiin, ellei suunnittelu tarkoituksella käännä lähdettä, ja palvelimen oma palomuuri hyväksyä sallitun etäalueen. Kumpaakaan ei onnistunut tunneli konfiguroi. strongSwanin välitysmuistiinpanot kuvaavat pakettipolun, jonka on toimittava kummallakin puolella.

Testaa sitten myös kiellettyä kohdetta. Haaratoimiston käyttäjä, joka tarvitsee yhden sovelluksen, ei tarvitse hypervisorin konsolia, ja ainoa tapa tietää, että käytäntö on todellinen, on kokeilla juuri sitä, mitä sen pitäisi kieltää. Kirjaa prefiksit, riippuvuus resolverista ja testitulokset, ja tuleva muutos kummassa tahansa toimipisteessä voidaan käydä läpi minuuteissa sen sijaan, että se rakennettaisiin uudelleen muistista.