Երթուղավորված VPN, թե կամրջված LAN՝ ճյուղի և լաբորատորիայի միջև կապի համար

Ճյուղից տնային լաբորատորիա հասնելու երկու եղանակ կա, և տարբերությունը կարգավորում չէ։ Կարող եք երթուղավորել առանձին նախածանցերի միջև, որպեսզի յուրաքանչյուր տեղամաս պահպանի իր հեռարձակման տիրույթը, կամ կարող եք երկու LAN-երը մեկի մեջ կամրջել, որպեսզի հեռարձակումներն ու հայտնաբերման հոսքը վարվեն այնպես, կարծես բոլորը նույն սենյակում են։ Երթուղավորումը այն նախագիծն է, որը դիմանում է իրական ցանցի հետ շփմանը։ Կամրջումը այն նախագիծն է, որը առաջին շաբաթը դարձնում է հեշտ, իսկ առաջին խափանումը՝ հետաքրքիր։ Ստորև բերված համեմատությունը նրա մասին է, թե ինչ է տալիս յուրաքանչյուրը և ինչ արժե, ապա այն մասին, թե ինչպես երթուղավորված տարբերակը դարձնել ստուգելի։

Միանալու երկու եղանակ, մեկ ակնհայտ զիջում

Երթուղավորված կապը տնային լաբորատորիային վերաբերվում է որպես հեռավոր ցանց՝ իր սեփական հասցեավորմամբ։ Ճյուղը հարցնում է լաբորատորիայի նախածանցը, թունելը տեղափոխում է այդ փաթեթները, և լաբորատորիայի դարպասը պատասխանում է իր ենթացանցից։ Ճյուղի ARP աղյուսակում ոչինչ չի փոխվում, և լաբորատորիայի DHCP տիրույթից ոչինչ ճյուղ չի հասնում։

Կամրջված կապը ձգում է մեկ 2-րդ մակարդակի տիրույթ երկու տեղամասերի վրա։ Հայտնաբերման արձանագրությունները աշխատում են, սարքերը հայտնվում են ավտոմատ, և յուրաքանչյուր հեռարձակում, յուրաքանչյուր ARP հարցում և յուրաքանչյուր multicast փաթեթ այժմ թունելով անցնելու թեկնածու է, այսինքն՝ մեծ ծավալի հոսք, որը տանում են տեղային հատվածի համար ստեղծված արձանագրությունները, և ոչ թե WAN-ի համար, որն ունի այլ MTU և փոփոխական շրջանառության ժամանակ։

Ինչ է տալիս երթուղավորումը

Առաջին առավելությունը վնասի շառավիղն է։ Օղակը, անցանկալի DHCP սերվերը կամ հեռարձակումների հեղեղը մնում է այն տեղամասում, որը ստեղծել է այն, որովհետև երթուղիչը հեռարձակումներ չի փոխանցում։ Երկրորդը հասցեավորման պարզությունն է՝ ճյուղի նախածանցը և լաբորատորիայի նախածանցը տարբեր են, ուստի փաթեթի նպատակակետը ձեզ ասում է, թե որ տեղամասը պետք է պատասխանի, և հրապարակի կանոնը կարող է ասել «ճյուղից լաբորատորիայի ենթացանց»՝ «ամենուրեքից ամենուրեք» փոխարեն։

Երրորդը այն է, որ այն համապատասխանում է նրան, ինչ թունելն իրականում տեղափոխում է։ IPsec քաղաքականությունը նախածանցերի զույգ է, և յուրաքանչյուր կողմի փոխանցման ուղին սովորական IP երթուղավորում է՝ դարպասի վրա փոխանցումը միացված:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Ինչից հրաժարվում եք, դա հեռարձակմամբ հայտնաբերումն է։ Սա իրական կորուստ է, և այն պետք է փոխարինել գիտակցաբար, այլ ոչ թե շրջանցել՝ ամեն ինչ կամրջելով։

Ինչ արժե կամրջումը

Կամրջումը պետք է 2-րդ մակարդակի շրջանակներ տեղափոխի թունելով, ինչը նշանակում է ինկապսուլացիա, ինչպիսին GRE-ն կամ VXLAN-ն է IPsec-ի վրա, այլ ոչ թե պարզ քաղաքականության վրա հիմնված թունել։ Երբ դա գոյություն ունի, երկու տեղամասերը կիսում են մեկ խափանման տիրույթ։ Spanning tree-ն թունելը տեսնում է որպես կապ, հեռարձակման հոսքը սպառում է թունելի թողունակությունը, և ցածր ուշացումով հատված ենթադրող ցանկացած սարք իրեն սխալ է պահում այնպես, որ դժվար է վերագրել ցանկացած ծայրից։

Այն նաև հեռացնում է հասցեավորման ստուգումը, որը ձեզ ազնիվ է պահում։ Մեկ հարթ նախածանցով կրկնվող հասցեն երթուղավորման սխալ չէ, այլ երկու հոսթ, որոնք լուռ գողանում են միմյանց հոսքը, և ճյուղի ու լաբորատորիայի միջև համընկնող նախածանցները սովորական են տնային լաբորատորիայի տեղադրություններում, ուստի կամրջումը այդ հակամարտությունը չի լուծում, այն բաշխում է այն։

Անվտանգության փաստարկն է, որ սովորաբար որոշում է։ Կամուրջը ձգում է այն հատվածը, որտեղ աշխատում են տեղային կապի արձանագրությունները, ուստի ճյուղի սարքը կարող է խոսել լաբորատորիայի այն սարքերի հետ, որոնք երբեք չպետք է հասանելի լինեին դրսից։ Եթե լաբորատորիան ունի հիպերվիզոր, պահման կոնսոլ և կառավարման ինտերֆեյս նույն հարթ ցանցում, ապա դա այժմ մեկ հատված է ճյուղի հետ միասին։

Անուններ առանց հեռարձակման

Մարդիկ կամուրջներ կառուցում են սովորաբար հայտնաբերման պատճառով՝ տպիչ, մեդիա սարք կամ լաբորատորիայի հոսթ, որը երբեք ցուցակում չի հայտնվում։ Երթուղավորված պատասխանը անունների ծառայությունն է։ Հրապարակեք լաբորատորիայի հոսթերը այն գոտում, որը ճյուղի լուծիչը կարող է հասնել, ապա թույլ տվեք օգտատերերին միանալ անունով՝ ցանցը սկանավորելու փոխարեն։ Սա սկզբում ավելի շատ աշխատանք է և յուրաքանչյուր ապագա փոփոխության դեպքում զգալիորեն ավելի քիչ աշխատանք։

Multicast հայտնաբերումն ավելի դժվար դեպքն է, և այն արժանի է ճշգրտության։ mDNS-ի նման արձանագրությունները օգտագործում են տեղային կապի multicast, որը երթուղիչները լռելյայն չեն փոխանցում, ուստի հայտնաբերման ցուցակում բացակայող լաբորատորիայի հոսթը դեռ կարող է հասանելի լինել իր փաստաթղթավորված հասցեով։ Եթե որոշակի ծառայություն իսկապես պահանջում է multicast, պլանավորեք այդ մեկ արձանագրությունը՝ անդրադարձիչով կամ նպատակային փոխանցման կանոնով, այլ ոչ թե ամբողջ LAN-ը կամրջեք որպես ընդհանուր վերանորոգում։

Անդրադարձիչը նույնպես ազատ հաղթանակ չէ։ Այն ներմուծում է նույն շատախոս հոսքը, որից փորձում էիք խուսափել, մեկ ծառայություն մեկ անգամ, և նրան պետք է տեր, որը կնկատի, երբ սարքը սկսի ավելի շատ գովազդել, քան նախկինում։ Ընտրեք այն յուրաքանչյուր ծառայության համար և գրեք ինչու։ Նշեք, թե որ ծառայությանն էր այն պետք և ինչ է գովազդում, որովհետև որոնվածի թարմացումը կարող է փոխել այդ ցուցակը՝ ոչ մեկին չասելով։

Երթուղավորված նախագիծը դարձրեք ստուգելի

Ընտրեք մեկ թիրախ, օրինակ լաբորատորիայի վեբ ինտերֆեյսը իր սեփական սերվերային ենթացանցում, և ապացուցեք այն երկու ուղղությամբ։ Ճյուղի հոսթից տեղում հաստատեք հասցեն և լսող ծառայությունը, ապա միացեք թունելով և կրկնեք։ Կանգնած թունելն ապացուցում է, որ դարպասները համաձայն են՝ հոսթի հրապարակի կամ վերադարձի ուղու մասին այն ոչինչ չի ապացուցում։

Լաբորատորիայի սովորական դարպասին պետք է ճանապարհ դեպի ճյուղի նախածանցը, եթե նախագիծը միտումնավոր չի թարգմանում աղբյուրը, և սերվերի սեփական հրապարակը պետք է ընդունի թույլատրված հեռավոր միջակայքը։ Նրանցից ոչ մեկը չի կարգավորվում հաջող թունելով։ strongSwan-ի փոխանցման նշումները նկարագրում են փաթեթների ուղին, որը պետք է աշխատի յուրաքանչյուր կողմում։

Ապա փորձարկեք նաև արգելված նպատակակետը։ Ճյուղի օգտատերը, որը պետք է մեկ հավելված, հիպերվիզորի կոնսոլի կարիք չունի, և իմանալու միակ միջոցը, որ քաղաքականությունն իրական է, փորձելն է հենց այն, ինչը նա պետք է մերժի։ Նշեք նախածանցները, լուծիչից կախվածությունը և փորձարկումների արդյունքները, և ցանկացած տեղամասում ապագա փոփոխությունը կարելի է վերանայել րոպեների ընթացքում՝ հիշողությամբ վերակառուցելու փոխարեն։