Két LAN a NetBirdön: mely társak irányítanak, és ki beszélhet

A nyugati LAN egyik munkaállomása böngészőt nyit, beírja egy keleti LAN-on futó alkalmazás címét, és vár, amíg le nem jár az idő. A NetBird minden képernyője azt mondja, hogy a társak kapcsolódnak, ami igaz és nem tartozik a tárgyhoz: egy overlay-hálózatban lenni nem ugyanaz, mint a két helyi alhálózatot egy hálózatban tartani. Az alábbi végigvezetés ezen a munkaállomáson indul, és egy olyan kéréssel ér véget, amelyet a terv szándékosan elutasít, és minden állomás valami, amit leolvasunk egy eszközről, nem pedig kitalálunk. Számítson arra, hogy a hiányzó darab egy útvonal vagy egy szabály, nem az overlay.

Először a munkaállomásról olvassa ki a hibát

Mielőtt megnyitja a felügyeleti konzolt, állapítsa meg, mit küld valójában a munkaállomás. A saját útválasztási táblázata dönti el, hogy a csomag a telephely átjárójára, egy helyi interfészre vagy sehová nem megy, és ez a döntés minden overlay-eszköz nélkül látható. A távoli előtaghoz útvonal nélküli gép elbukik, bármilyen egészségesnek is tűnik a társak listája. Az overlay tartománya és a telephely saját előtagja különböző címterek, és a regisztráció csak az egyiket állította be.

Ezután válassza szét a névfeloldást az elérhetőségtől, mert a böngésző mindkettőt ugyanazon időtúllépésként jelenti. Ismételje a kérést cím szerint egy NetBird-klienst futtató gépről, majd egy olyan közönséges munkaállomásról, amely nem futtat ilyet. Ha a regisztrált gép sikerül és a közönséges elbukik, a rés a helyi útválasztásban van; ha mindkettő elbukik, olvasson tovább, mielőtt útvonalat változtat.

Válasszon egy irányító társat site-onként

Az irányító társ egy gazdagép, amely az overlay-n képviseli a saját LAN-ját, ezért válasszon stabil elérhetőségű Linux gépet az alhálózat felé, ne valaki íróasztali munkaállomását. Regisztrálja a szokásos folyamattal, és tegye a szerep nevét viselő csoportba, mert a hálózati erőforrás és a szabály is erre a csoportra fog hivatkozni. Site-onként egy képviselő olvasható marad; az ugyanazt az előtagot hirdető önkéntesek hada minden későbbi kérdést hibakeresési üléssé tesz. A társ helyi szegmensbeli címe ugyanolyan fontos, mint az overlay-identitása, mert ez a cím lesz a következő ugrás, amit minden közönséges eszköznek mondanak.

Írja le a tervet, mielőtt a konzolhoz nyúl, mert a nevek és előtagok az a hely, ahol ezek a tervek elsodródnak: előtag, átjáró, társ címe és csoport, site-onként. A nyugat 10.52.0.0/24, amelyet 10.52.0.5 szolgál ki, a kelet pedig 10.63.0.0/24, amelyet 10.63.0.5 szolgál ki; a két csoport a west-routers és az east-routers, és egyik előtag sem fedheti át a másikat, az overlay tartományát vagy egy másik irányított célállomást.

Hozza létre az erőforrást, tartsa bekapcsolva a maszkolást

A telepített irányítópulton hozzon létre egy hálózati erőforrást site-onként, és csatolja hozzá az adott telephely irányító társainak csoportját. Az erőforrás az előtag, a csoport pedig a gazdagép, amely válaszol érte, és mindkettőnek léteznie kell, mielőtt bármit hirdetnénk. Erősítse meg, hogy a telepített saját üzemeltetésű verzióban egyáltalán van Hálózatok munkafolyamat, mert egy hasonló nevű útvonalobjektumot tartalmazó régebbi felület más funkció.

Hagyja bekapcsolva a maszkolást. A NetBird telephelyek közötti útmutatója megköveteli ebben az elrendezésben, és kikapcsolni azért, hogy minden eredeti cím látható maradjon, nem ugyanaz a terv egy ugrással kevesebbel; megváltoztatja, mit látnak az overlay forrásellenőrzései és szabályai. A következtetést érdemes egyenesen kimondani: a fogadó szolgáltatás forrásként az irányító társat rögzíti, nem az egyes munkaállomást. Ha a szolgáltatás engedélylistája vagy auditja munkaállomás-címeket vár, vagy az elvárás változik, vagy az identitást a telephely határán kell kikényszeríteni a fordítás előtt.

A kezdeményezőket hatalmazza fel, ne az előtagokat

Az útvonal elérhetővé tesz egy címet, a szabály pedig eldönti, ki használhatja; ez két külön objektum külön tulajdonossal. A szabályt a munkaterheléstől visszafelé írja meg: melyik csoport kezdeményez, melyik erőforrást célozza, és melyik TCP-szolgáltatásra van szüksége. Az a hálózat, amely minden regisztrált társnak hirdeti mindkét előtagot, elérhetőséget teremtett, és semmit nem rendezett.

Aztán olvassa el, mi más engedélyezett már, mert egy szűk új szabály nem vonja vissza a felette álló széles régit. Amikor a keletnek is kapcsolatokat kell kezdeményeznie nyugat felé, írja meg azt az irányt saját szabályaként; a nyugat által nyitott munkamenet visszaforgalma más kérdés, mint új munkamenetek engedélyezése kelet felé. Ha csak bizonyos nyugati munkaállomásoknak kell elérniük a keleti alkalmazást, válassza ki őket a telephely határán a fordítás előtt, és tartsa meg az alkalmazás saját hitelesítését. Az irányító társ a LAN-forgalmat az egész telephelyként szállítja, nem felhasználónkénti overlay-identitásként, ezért a felhasználónkénti elszámolásnak máshonnan kell jönnie.

Tanítsa meg minden átjárónak a következő ugrást, aztán teszteljen egy elutasítást

A közönséges eszközök soha nem látják az overlay-t, ezért a saját átjárójuknak statikus útvonalra van szüksége, amely a távoli előtagot az irányító társ LAN-címére irányítja. Ezt a lépést hagyják ki az emberek, mert minden látható dolog a NetBirdön belül már működik, miközben a közönséges munkaállomások még időtúllépnek. Az átjáró megtartja az alapértelmezett útvonalát úgy, ahogy volt; ez az előtag kiegészítés, nem csere.

A két útvonal-leírás az egyes telephelyek saját átjáró-konfigurációjába tartozik, nem gazdagép-felülírásba. Mindkettő egyszerű statikus útvonal, és egyik sem érinti az alapértelmezett útvonalat:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Teszteljen azzal az alkalmazással, amelyre a projektnek valóban szüksége van, egy közönséges munkaállomásról, és jegyezzen fel három dolgot: a küldő oldalon választott következő ugrást, az egyező szabályt és a szolgáltatás által naplózott forráscímet. Teszteljen elutasítást is, mert annak a tervnek, amely soha semmit nem utasított el, ismeretlen szélei vannak, és az elutasítás az egyetlen bizonyíték arra, hogy a szabály, nem az útválasztás végzi a munkát. Amikor a keletnek is kezdeményeznie kell, indítson új kapcsolatot arról az oldalról, ahelyett hogy feltételezné, hogy a második irány következik. Tervezze meg az irányító társ újraindítását, frissítését és cseréjét is, mert egy gazdagép a telephely függőségévé vált.

A privát neveknek saját feloldótervre van szükségük, mert az elérhetőség nem hoz létre DNS-rekordokat, és egy működő IP-útvonal törött névvel pontosan úgy olvasható, mint egy törött útvonal. Ha az irányító társ felhőhálózatban fut, nézze át a szolgáltató továbbítási és tűzfal-szabályait is, mert a regisztráció nem írja felül őket. Tartsa a teszt megfigyeléseit a terv mellett, mert a következő ember, aki ezt hibakeresi, az egyező szabályt és a naplózott forráscímet akarja, nem a topológia leírását.