VPN-sivuston laajennus: seuraa paluureittiä yhdyskäytävän taakse

Toimipisteen liikenne päättyy yhdyskäytävään, jonka LAN ei sisällä sovellusta, johon sinua pyydettiin pääsemään. Palvelin sijaitsee toisessa datakeskuksessa, sisäisen linkin takana, jota VPN ei koskaan määrittänyt. Toisen etuliitteen lisääminen lähimmälle yhdyskäytävälle ei tee tuossa tapauksessa mitään, koska kaukainen yhdyskäytävä on salauksen päätepiste eikä viimeinen reititin. Polku tarvitsee reitin eteenpäin, päästön kaukaisella turvarajalla ja paluupäätöksen kohteen omassa verkossa.

Kaukainen yhdyskäytävä on salauksen päätepiste

Yhdyskäytävien välinen IPsec suojaa liikennettä kahden turvalaitteen välillä, ja sisäiset osoitteet kulkevat tuon segmentin yli salattuina. Kaukaisen yhdyskäytävän takana tavallinen reititys ottaa vallan, mukaan lukien mikä tahansa datakeskusten välillä vallitseva käytäntö. Suojattu segmentti kattaa siis osan matkasta eikä loppuosaa. Muun olettaminen on se tapa, jolla suunnittelu päätyy terveeseen tunneliin ja saavuttamattomaan sovellukseen.

Piirrä polku kolmeen osaan: toimipisteestä lähimpään yhdyskäytävään, lähimmästä kaukaiseen, kaukaisesta yhdyskäytävästä sovellukseen. Jokaisella osalla on oma omistajansa ja oma vikatilansa.

Lue tunnelikäytännön molemmat suunnat

Tunnelikäytäntö kirjoitetaan yleensä paikallisen puolen näkökulmasta, ja juuri tästä tavasta syntyvät osittaiset määritykset. Molempien osapuolten on lueteltava toimipisteen lähde ja kohde sellaisina kuin ne näkyvät tunnelin sisällä, mukaan lukien mikä tahansa käännös, jonka suunnittelu aikoo. Vain lähi pään päivittäminen tuottaa toisen vaiheen ristiriidan, joka näyttää reititysvirheeltä. Vertaa kahta käytäntökokonaisuutta ennen kuin kosket mihinkään reittiin.

Kirjoita lähde ja kohde osoitteina, ei sivuston niminä. Epäselvyys täällä palaa myöhemmin hämmentävänä epäsymmetriana.

Lisää reitti eteenpäin ja vahvista päästö

Kaukainen yhdyskäytävä tarvitsee reitin sovelluksen aliverkkoon, ja jokaisen niiden välisen reitittimen on päästettävä toimipisteen lähde. Varmista, mitä kaukaisella yhdyskäytävällä todella on, sen sijaan mitä kaavio väittää.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Ensimmäinen komento ilmoittaa lähtöliitännän ja seuraavan hypyn, jonka kaukainen yhdyskäytävä valitsisi tuolle lähteelle, kysymys, johon tavallinen reititystaulu ei voi vastata. Jäljitys näyttää, mihin paketit pysähtyvät, ja katkos kaukaisen yhdyskäytävän jälkeen viittaa sisäiseen läpikulkuun eikä tunneliin. Kun reitti on olemassa ja liikenne silti katoaa, kaappaa kaukaisella yhdyskäytävällä ja lue saapuva lähdeosoite, koska odottamaton osoite tarkoittaa, että käännöstä tapahtuu jossain suunnittelemattomassa paikassa. Kaikki osoitteet tässä ovat paikkamerkkejä, joten korvaa todelliset toimipisteen, läpikulun ja sovelluksen aliverkot.

Testaa toimipisteestä ja testaa sitten vanha polku uudelleen

Hyväksyntä tarvitsee todellisen lähteen eikä kaukaiselta yhdyskäytävältä tehtyä koetta. Suorita tarkistus toimipisteen isännältä ja pidä aiemmin toimineet kohteet samassa testissä.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Sovelluksen vastaus todistaa menosuunnan ja paluupolun yhdessä, kun taas ping vanhaan kohteeseen todistaa, ettei muutos rikkonut sitä, mikä jo toimi. Tallenna lähdeosoite, jonka sovellus kirjaa, koska sen käyttösäännöt ja mahdollinen paluureitti on sovitettava tuohon arvoon. Missä toimipiste kääntää ennen tunnelia, käytännön osoite ja sovelluksen näkemä osoite eroavat suunnitellusti, joten kirjaa molemmat. Toista testi avaimen uusimisen tai reititysmuutoksen jälkeen, koska nämä polut yleensä validoidaan kerran ja sitten unohdetaan.

Nimeä omistaja jokaiselle kolmelle segmentille ja kohdeverkon sisäiselle paluureitille. Neljän omistajan polku epäonnistuu niiden välisissä aukoissa.