VPN-side-útwreiding: folgje de weromrûte foarby de gateway

Ferkeer fan in filiaal einiget op in gateway wêrfan it LAN net de applikaasje befettet dy’t jo berikke moasten. De server stiet yn in twadde datacenter, oer in ynterne keppeling dy’t it VPN nea konfigurearre. In oar prefiks tafoegje oan de tichtby lizzende gateway docht neat foar dat gefal, om’t de fiere gateway in fersiferingseinstipunt is en net de lêste router. It paad hat in rûte foarút nedich, in talitting by de fiere befeiligingsgrins en in werombeslissing yn it eigen netwurk fan de bestimming.

De fiere gateway is in fersiferingseinstipunt

IPsec tusken gateways beskermet ferkeer tusken twa befeiligingsapparaten, en de ynterne adressen reizgje fersifere oer dat segmint. Foarby de fiere gateway nimt gewoane routing it oer, ynklusyf elk belied dat tusken datacenters bestiet. It beskerme segmint beslacht dus in part fan de reis en net de rest. It tsjinoerstelde oannimme is hoe’t in ûntwerp einiget mei in sûne tunnel en in ûnberikbere applikaasje.

Tekenje it paad yn trije stikken: filiaal nei tichtby gateway, tichtby nei fier, fier nei de applikaasje. Elk stik hat syn eigen eigner en syn eigen falmodus.

Lês beide rjochtingen fan it tunnelbelied

In tunnelbelied wurdt meastentiids skreaun fanút it perspektyf fan de lokale kant, en krekt dy gewoante is wêr’t partielle konfiguraasjes wei komme. Beide pearen moatte de filiaalboarne en de bestimming listje sa’t se yn de tunnel ferskine sille, ynklusyf elke oersetting dy’t it ûntwerp bedoelt. Allinnich it tichtbye ein bywurkje produsearret in twadde-faze-ôfwiking dy’t op in routingflater liket. Ferlykje de twa beliedssets foardat jo in rûte oanreitsje.

Skriuw boarne en bestimming as adressen ynstee fan sidenammen. Dûbelsinnigens hjir komt letter werom as in fernuverjende asymmetry.

Foegje de rûte foarút ta en befêstigje de talitting

De fiere gateway hat in rûte nei it applikaasjesubnet nedich, en elke router dêrtusken moat de filiaalboarne talitte. Ferifiearje wat de fiere gateway eins hat, ynstee fan wat it diagram beweart.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

It earste kommando rapportearret de útgongsynterface en de folgjende hop dy’t de fiere gateway foar dy boarne kieze soe, in fraach dy’t in gewoane routingtabel net beantwurdzje kin. De spoarwei lit sjen wêr’t pakketten stopje, en in brek nei de fiere gateway wiist op ynterne trochgong en net op de tunnel. As de rûte bestiet en it ferkeer ferdwynt dochs, meitsje dan in opname op de fiere gateway en lês it oankommende boarneadres, om’t in ûnferwachts adres betsjut dat oersetting earne ûnplande bart. Alle adressen hjir binne plakhâlders, ferfange dus de echte subnetten fan filiaal, trochgong en applikaasje.

Test fan it filiaal ôf, en test dan it âlde paad op ’e nij

Akseptaasje freget in echte boarne ynstee fan in probe fan de fiere gateway. Fier de kontrôle út fan in host yn it filiaal en hâld de earder wurkjende bestimmingen yn deselde test.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

In antwurd fan de applikaasje bewissiget it paad foarút en it werompaad tegearre, wylst de ping nei de âlde bestimming bewissiget dat de feroaring net bruts wat al wurke. Fêstlizze it boarneadres dat de applikaasje logt, om’t syn tagongsregels en elke weromrûte by dy wearde passe moatte. Wêr’t it filiaal foar de tunnel oerset, ferskille it beliedadres en it adres dat de applikaasje sjocht nei ûntwerp, dus registrearje beide. Werhelje de test nei in kaaifernijing of in routingferoaring, om’t dizze paden meastentiids ien kear validearre en dan fergetten wurde.

Jou in eigner oan elk fan de trije segminten en oan de weromrûte binnen it bestimmingsnetwurk. In paad mei fjouwer eigners falt yn ’e gatten dêrtusken.