Rûte VPN of brêge LAN foar in ferbining fan filiaal nei lab

Der binne twa manieren om in filiaal in thúslab berikke te litten, en it ferskil is gjin ynstelling. Do kinst tusken aparte prefiksen rûte, sadat elk plak syn eigen broadcastdomein hâldt, of do kinst de twa LAN's ta ien brêgje, sadat broadcasts en discoveryferkear har hâlde as sieten allegearre yn deselde keamer. Rûting is it ûntwerp dat kontakt mei in echt netwurk oerlibbet. Brêgjen is it ûntwerp dat de earste wike maklik makket en de earste steuring nijsgjirrich. De ferliking hjirûnder giet oer wat elk fan beide dy jout en wat it kostet, folge troch hoe't do de rûte ferzje testber meitsje kinst.

Twa manieren om te ferbinen, ien dúdlike ôfwaging

In rûte ferbining behannelet it thúslab as in ôfstânnetwurk mei eigen adressering. It filiaal freget om it labprefiks, de tunnel draacht dy pakketten, en de labgate antwurdet út syn eigen subnet. Neat oan de ARP-tabel fan it filiaal feroaret, en neat fan it DHCP-berik fan it lab berikt it filiaal.

In brêge ferbining strekt ien Laach 2-domein oer beide plakken. Discoveryprotokollen wurkje, apparaten ferskine automatysk, en elk broadcast, elk ARP-fersyk en elk multicastpakket is no in kandidaat om de tunnel oer te stekken, wat in grutte hoemannichte ferkear is dat droegen wurdt troch protokollen ûntwurpen foar in lokaal segmint en net foar in WAN mei in oare MTU en in wikseljende rondtiid.

Wat rûting dy jout

It earste foardiel is de omfang fan 'e skea. In lus, in rogue DHCP-tsjinner of in broadcastfloed bliuwt op it plak dat it makke hat, om't in rûter gjin broadcasts trochstjoert. It twadde is adresseringsdúdlikheid: it filiaalprefiks en it labprefiks binne ferskillend, sadat de bestemming fan in pakket dy fertelt hokker plak antwurdzje moat, en in firewallregel kin „filiaal nei labsubnet“ sizze ynstee fan „oeral nei oeral“.

It tredde is dat it past by wat de tunnel eins ferfiert. In IPsec-belied is in pear prefiksen, en it trochstjoerpaad oan elk kant is gewoane IP-rûting mei trochstjoeren oan op de gateway:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Wat do opjout, is discovery fia broadcast. Dat is in echt ferlies, en it moat bewust ferfongen wurde ynstee fan omgien te wurden troch alles te brêgjen.

Wat brêgjen kostet

Brêgjen moat Laach 2-ramen oer in tunnel drage, wat in ynkapsele as GRE of VXLAN oer IPsec betsjut ynstee fan in gewoane beliedsbasearre tunnel. Sadree't dat bestiet, diele de twa plakken in flaterdomein. Spanning tree sjocht de tunnel as in keppeling, broadcastferkear fret tunnelbânbreedte, en elk apparaat dat in segmint mei lege latency ferwachtet, hâldt him ferkeard op manieren dy't fan beide kanten dreech ta te skriuwen binne.

It hellet ek de adresseringskontrôle wei dy't dy earlik hâldt. Mei ien plat prefiks is in dûbele adres gjin rûteflater, mar twa hosts dy't inoar stil ferkear stelle, en oerlaapjende prefiksen tusken in filiaal en in lab komme faak foar yn thúslabopsets, dus brêgjen lossen dat konflikt net op; it ferspriedt it.

It feiligensargumint is it argumint dat de beslissing meastentiids nimt. In brêge strekt it segmint dêr't link-local protokollen op wurkje, dus in apparaat yn it filiaal kin prate mei labapparaten dy't nea fan bûten berikber wêze moatten hiene. Hat it lab in hypervisor, in opslachkonsôle en in behearinterface op itselde platte netwurk, dan is dat no tegearre mei it filiaal ien segmint.

Nammen sûnder broadcast

De reden dat minsken brêgje is meast discovery: in printer, in mediaapparaat of in labhost dy't nea yn in list ferskynt. It rûte antwurd is in nammetsjinst. Publisearje de labhosts yn in sône dy't de resolver fan it filiaal berikke kin, en lit brûkers dan op namme ferbine ynstee fan it netwurk te skennen. Dat is foarôf mear wurk en by elke takomstige feroaring folle minder.

Multicastdiscovery is it dreger gefal, en it fertsjinnet presyzje. Protokollen as mDNS brûke link-local multicast, dat rûters standert net trochstjoere, dus in labhost dy't yn in discoverylist ûntbrekt, kin op syn dokumintearre adres noch berikber wêze. As in spesifike tsjinst echt multicast fereasket, plan dan dy iene tsjinst, mei in reflektor of in rjochte trochstjoerregel, ynstee fan it hiele LAN te brêgjen as in algemiene reparaasje.

In reflektor is ek gjin fergees winst. Hy ymportearret itselde pratige ferkear dat do besocht te ûntkommen, ien tsjinst tagelyk, en hy hat in eigner nedich dy't merkt wannear't in apparaat mear begjint te advertearjen as earder. Kies him per tsjinst, en skriuw op wêrom. Notearje hokker tsjinst him nedich hie en wat hy advertearret, want in firmwarefernijing kin dy list feroarje sûnder it ien te fertellen.

Meitsje it rûte ûntwerp testber

Kies ien doel, bygelyks in webinterface fan it lab op in eigen server-subnet, en bewis it yn beide rjochtingen. Befêstigje op in host yn it filiaal it adres en de lústertsjinst lokaal, ferbine dan troch de tunnel en werhelje it. In tunnel dy't oan stiet, bewist dat de gateways it iens binne; oer de firewall fan 'e host of de weromrûte bewist er neat.

De normale gateway fan it lab hat in rûte werom nei it filiaalprefiks nedich, útsein as it ûntwerp de boarne bewust oerset, en de firewall fan 'e server sels moat it tastiene ôfstânberik akseptearje. Gjin fan beide wurdt troch in slagge tunnel konfigurearre. De trochstjoernotysjes fan strongSwan beskriuwe it pakketpaad dat oan elk kant wurkje moat.

Test dêrnei ek in wegere bestimming. In filiaalbrûker dy't ien applikaasje nedich hat, hat de hypervisorkonsôle net nedich, en de iennichste manier om te witten dat it belied echt is, is om krekt dat te probearjen wat it wegere moat. Notearje de prefiksen, de resolverôfhinklikheid en de testresultaten, en in takomstige feroaring oan ien fan 'e plakken kin yn minuten beoardiele wurde ynstee fan út it ûnthâld wer opboud te wurden.