Kućna laboratorija i podijeljeni tunel: usmjerite ono što vam treba, a ne sve

Savjet da kućnoj laboratoriji treba puni tunel obično dolazi iz tutorijala koji ga je imao, a ne iz zahtjeva. Podijeljeni tunel nije kompromitovana verzija valjanog VPN-a; to je verzija čiju tabelu ruta možete objasniti. Laboratorija s pet servisa i upravljačkim sučeljem ne treba da svaki paket koji napusti kuću prolazi kroz tunel. Treba joj inventar i ruta za svaku stavku na tom inventaru.

Mit: podijeljeni tunel je kompromis

Mit opstaje jer je puni tunel lakše podesiti jednom i teže otkloniti kvarove kasnije. Ta razmjena je razumna za laptop na javnom Wi-Fi-ju i pogrešna za ormar u podrumu.

On također skriva drugu pretpostavku, a to je da adresiranje laboratorije nema ništa zajedničko s mrežom s koje se povezujete.

Popišite resurse prije ruta

Zapišite svaku podmrežu laboratorije, servis koji tamo živi, ime po kojem je razrješavate i kome je dopušteno da joj pristupi; bilješke o prosljeđivanju za vaš mrežni prolaz opisuju povratni put prema kojem planirate. Dodajte opsege kontejnera i LAN opsege koje udaljeni klijent možda već koristi, jer preklapanje je kvar koji ovaj inventar sprječava. Ruta koja pokriva svaku privatnu adresu prije ili kasnije će se sudariti s kućnom mrežom. Inventar je ujedno i testni plan, zato ga vrijedi napraviti prije konfiguracije, a ne poslije.

Dodijelite svakom resursu putanju: kroz tunel, izravno ili odbijeno. Resurs bez dodijeljene putanje je onaj koji kasnije stvara zbunjeno pitanje podršci.

Pet redova i kolona odluka pobjeđuje tabelu ruta koju niko ne može pročitati.

Mrežni prolaz treba povratni put

Prosljeđivanje na mrežnom prolazu je samo pola posla. Laboratoriji treba ruta natrag do bazena klijenata ili podržan raspored prevođenja koji vraćanje čini mogućim. Ako odgovori ne mogu naći klijenta, tunel izgleda povezan i svaki zahtjev završi istekom vremena; to je simptom rutiranja, a ne kvar VPN-a. Provjerite povratni put kao dio dizajna, a ne kao korak u otklanjanju problema.

Bazen klijenata koji se preklapa s vlastitim adresiranjem laboratorije je druga polovina ovog problema, i kvari se na potpuno isti način.

Popravite plan, a ne simptome, kada se dva opsega sudare.

Upravljačke i internetske uloge su odvojene

Odlučite da li samo promet laboratorije koristi tunel ili on postaje i izlaz na internet. Ne dodajte zadanu rutu samo zato što je tutorijal koristio jednu, jer ta odluka mijenja kuda ide svaki DNS upit i svaka provjera ažuriranja. Sačuvajte vanjsku putanju do samog završnog čvora VPN-a, inače će tunel pokušati nositi vlastitu vanjsku vezu. Držite upravljački pristup uskim i dostupnim kroz odobreni metod oporavka.

Privatni DNS se može odabrati za imena laboratorije bez pretpostavke da svaki javni upit treba isti razrješivač. To je odluka o razrješivaču, a ne odluka o ruti.

Njihovo razdvajanje je ono što kasnije čini načine kvara razlučivim.

Testirajte izvana, ne iz LAN-a

Koristite vanjsku ovlaštenu vezu umjesto testa iz istog LAN-a, jer test iz istog LAN-a može potpuno sakriti nedostajuću povratnu rutu. Provjerite adresu laboratorije, njeno privatno ime hosta, predviđeno izravno odredište i potrebno ponašanje pri kvaru. Slučaj kvara je jednako važan kao i slučaj uspjeha: resurs koji ne bi trebao biti dostupan mora zaista biti nedostupan. Zabilježite sva četiri rezultata prije nego što dizajn proglasite završenim.

Zatim sačuvajte konfiguraciju ruta i DNS pored inventara, s naznačenim vlasnikom. Kada laboratorija dobije još jednu podmrežu, ažurirajte oboje i ponovo testirajte.

Neobjašnjena ruta koja se preklapa s postojećom kućnom mrežom je zadani ishod preskakanja tog koraka.

Završen dizajn je malen, dokumentovan i dosadan, što je upravo ono što laboratorija želi od svoje mreže. Zanimljiva verzija je ona koja se pokvari dok ste daleko od kuće.