Útvonalválasztott VPN vagy áthidalt LAN a fióktelep és a laboratórium közötti kapcsolathoz

Kétféleképpen lehet elérni, hogy egy fióktelep elérjen egy otthoni laboratóriumot, és a különbség nem egy beállítás. Irányíthatsz külön prefixek között, így minden helyszín megtartja a saját adási tartományát, vagy áthidalhatod a két LAN-t eggyé, így az adások és a felderítési forgalom úgy viselkednek, mintha mindenki ugyanabban a szobában lenne. Az útvonalválasztás az a tervezés, amely túléli a valódi hálózattal való érintkezést. Az áthidalás az a tervezés, amely könnyűvé teszi az első hetet és érdekessé az első kiesést. Az alábbi összehasonlítás arról szól, mit ad mindegyik és mennyibe kerül, majd arról, hogyan tehető tesztelhetővé az útvonalválasztott változat.

Két csatlakozási mód, egy nyilvánvaló kompromisszum

Az útvonalválasztott kapcsolat távoli hálózatként kezeli az otthoni laboratóriumot, saját címzésével. A fióktelep elkéri a laboratórium prefixét, az alagút szállítja ezeket a csomagokat, és a laboratórium átjárója a saját alhálózatából válaszol. A fióktelep ARP-táblájában semmi nem változik, és a laboratórium DHCP-tartományából semmi nem ér el a fióktelephez.

Az áthidalt kapcsolat egyetlen 2. rétegbeli tartományt terjeszt ki mindkét helyszínre. A felderítési protokollok működnek, az eszközök automatikusan megjelennek, és minden adás, minden ARP-kérés és minden multicast csomag most már jelölt arra, hogy átkeljen az alagúton, ami nagy mennyiségű forgalom, amelyet helyi szegmensre tervezett protokollok hordoznak, nem pedig olyan WAN-ra, amelynek más az MTU-ja és változó a menet- és visszaút ideje.

Mit ad az útvonalválasztás

Az első előny a kár sugara. Egy hurok, egy nem kívánt DHCP-kiszolgáló vagy egy adási áradat abban a helyszínben marad, amely létrehozta, mert az útválasztó nem továbbít adásokat. A második a címzés világossága: a fióktelep prefixe és a laboratórium prefixe különbözik, így egy csomag célja megmondja, melyik helyszínnek kell válaszolnia, és egy tűzfalszabály azt mondhatja, hogy „fióktelep a laboratórium alhálózatára”, nem azt, hogy „mindenhonnan mindenhová”.

A harmadik, hogy illeszkedik ahhoz, amit az alagút valóban szállít. Az IPsec-szabályzat prefixpár, és a továbbítási útvonal mindkét oldalon közönséges IP-útvonalválasztás, a továbbítás engedélyezve az átjárón:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Amiről lemondasz, az az adáson alapuló felderítés. Ez valódi veszteség, és szándékosan pótolni kell, nem pedig megkerülni azzal, hogy mindent áthidalsz.

Mit költenek az áthidalás

Az áthidalásnak 2. rétegbeli kereteket kell szállítania az alagúton át, ami olyan beágyazást jelent, mint a GRE vagy a VXLAN IPsec felett, nem pedig egyszerű szabályzatalapú alagutat. Ha ez létezik, a két helyszín közös hiba tartományt oszt. A Spanning tree kapcsolatként látja az alagutat, az adási forgalom fogyasztja az alagút sávszélességét, és minden eszköz, amely kis késleltetésű szegmenst feltételez, rosszul viselkedik olyan módokon, amelyeket egyik végéről sem könnyű visszavezetni.

Eltávolítja azt a címzésellenőrzést is, amely tisztességesen tart. Egyetlen lapos prefix mellett a duplikált cím nem útválasztási hiba, hanem két gazdagép, amely csendesen lopja egymás forgalmát, és a fióktelep és a laboratórium közötti átfedő prefixek gyakoriak az otthoni laboratóriumi összeállításokban, tehát az áthidalás nem oldja meg ezt a konfliktust; elosztja.

A biztonsági érv az, amely általában dönt. A híd kiterjeszti azt a szegmenst, amelyen a link-local protokollok működnek, így a fióktelep eszköze beszélhet olyan laboratóriumi eszközökkel, amelyeknek soha nem kellett volna kívülről elérhetőnek lenniük. Ha a laboratóriumban ugyanabban a lapos hálózatban van egy hipervizor, egy tárolókonzol és egy felügyeleti interfész, az most egy szegmens a fiókteleppel együtt.

Nevek adás nélkül

Általában a felderítés miatt szoktak áthidalni: egy nyomtató, egy médialejátszó vagy egy laboratóriumi gazdagép soha nem jelenik meg egy listán. Az útvonalválasztott válasz egy névszolgáltatás. Tegye közzé a laboratóriumi gazdagépeket egy olyan zónában, amelyet a fióktelep feloldója elér, majd engedje meg a felhasználóknak, hogy név szerint kapcsolódjanak, ahelyett hogy a hálózatot pásztáznák. Ez eleinte több munka, és minden jövőbeli változtatásnál lényegesen kevesebb.

A multicast-felderítés a nehezebb eset, és megérdemli a pontosságot. Az olyan protokollok, mint az mDNS, link-local multicastot használnak, amelyet az útválasztók alapértelmezés szerint nem továbbítanak, így egy felderítési listáról hiányzó laboratóriumi gazdagép továbbra is elérhető lehet a dokumentált címén. Ha egy adott szolgáltatás valóban igényel multicastot, tervezze meg azt az egy protokollt, egy reflektorral vagy célzott továbbítási szabállyal, ahelyett hogy a teljes LAN-t áthidalná általános javításként.

A reflektor sem ingyenes győzelem. Behúzza ugyanazt a fecsegő forgalmat, amelyet el akartál kerülni, szolgáltatásonként egyet, és kell hozzá egy tulajdonos, aki észreveszi, amikor egy eszköz többet kezd hirdetni, mint korábban. Szolgáltatásonként válassza ki, és írja le, miért. Jegyezze fel, melyik szolgáltatásnak kellett, és mit hirdet, mert egy firmware-frissítés megváltoztathatja ezt a listát anélkül, hogy bárkinek szólna.

Tegye tesztelhetővé az útvonalválasztott tervezést

Válasszon egy célpontot, például a laboratórium webes felületét a saját kiszolgáló-alhálózatán, és bizonyítsa mindkét irányban. A fióktelep egyik gazdagépén helyben erősítse meg a címet és a figyelő szolgáltatást, majd kapcsolódjon az alagúton át, és ismételje meg. A felfelé álló alagút azt bizonyítja, hogy az átjárók egyetértenek; a gazdagép tűzfaláról vagy a visszaútról semmit nem bizonyít.

A laboratórium normál átjárójának szüksége van egy útvonalra vissza a fióktelep prefixéhez, hacsak a tervezés szándékosan nem fordítja le a forrást, és a kiszolgáló saját tűzfalának el kell fogadnia az engedélyezett távoli tartományt. Egyiket sem konfigurálja egy sikeres alagút. A strongSwan továbbítási megjegyzései leírják azt a csomagútvonalat, amelynek mindkét oldalon működnie kell.

Utána teszteljen egy tiltott célt is. Az a fióktelepi felhasználó, akinek egy alkalmazásra van szüksége, nem igényli a hipervizor konzolját, és az egyetlen módja annak, hogy tudjuk, a szabályzat valódi, ha kipróbáljuk pontosan azt, amit meg kellene tagadnia. Jegyezze fel a prefixeket, a feloldótól való függőséget és a teszteredményeket, és egy jövőbeli változtatás bármelyik helyszínen percek alatt áttekinthető, nem pedig emlékezetből újraépítendő.