VPN berute atau LAN dijembatani untuk tautan cabang ke lab

Ada dua cara membuat cabang menjangkau lab rumah, dan perbedaannya bukan sebuah pengaturan. Anda dapat merutekan di antara prefiks yang berbeda, sehingga setiap situs mempertahankan domain siarannya sendiri, atau menjembatani kedua LAN menjadi satu, sehingga siaran dan lalu lintas penemuan berperilaku seolah semua orang berada di ruangan yang sama. Perutean adalah rancangan yang bertahan saat bersentuhan dengan jaringan nyata. Penjembatanan adalah rancangan yang membuat minggu pertama mudah dan gangguan pertama menarik. Perbandingan di bawah membahas apa yang diberikan masing-masing dan berapa biayanya, lalu bagaimana membuat versi berute dapat diuji.

Dua cara terhubung, satu kompromi yang jelas

Tautan berute memperlakukan lab rumah sebagai jaringan jauh dengan pengalamatan sendiri. Cabang meminta prefiks lab, terowongan membawa paket itu, dan gerbang lab menjawab dari subnetnya sendiri. Tidak ada yang berubah pada tabel ARP cabang, dan tidak ada bagian dari cakupan DHCP lab yang mencapai cabang.

Tautan terjembatani memperluas satu domain lapisan 2 ke kedua situs. Protokol penemuan bekerja, perangkat muncul otomatis, dan setiap siaran, setiap permintaan ARP, dan setiap paket multicast kini menjadi kandidat untuk melintasi terowongan, yaitu jumlah lalu lintas besar yang dibawa protokol yang dirancang untuk segmen lokal dan bukan untuk WAN dengan MTU berbeda dan waktu pulang-pergi yang berubah-ubah.

Apa yang diberikan perutean

Manfaat pertama adalah radius kerusakan. Loop, server DHCP yang tidak diinginkan, atau banjir siaran tetap berada di situs yang menghasilkannya, karena router tidak meneruskan siaran. Yang kedua adalah kejelasan pengalamatan: prefiks cabang dan prefiks lab berbeda, jadi tujuan paket memberi tahu situs mana yang harus menjawab, dan aturan firewall dapat mengatakan «cabang ke subnet lab» alih-alih «ke mana saja dari mana saja».

Yang ketiga adalah ia cocok dengan apa yang sebenarnya diangkut terowongan. Kebijakan IPsec adalah sepasang prefiks, dan jalur penerusan di setiap sisi adalah perutean IP biasa dengan penerusan diaktifkan pada gerbang:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Yang Anda lepaskan adalah penemuan melalui siaran. Itu kehilangan nyata, dan harus diganti dengan sengaja alih-alih diakali dengan menjembatani semuanya.

Biaya penjembatanan

Penjembatanan harus membawa bingkai lapisan 2 melalui terowongan, yang berarti enkapsulasi seperti GRE atau VXLAN di atas IPsec alih-alih terowongan berbasis kebijakan biasa. Setelah itu ada, kedua situs berbagi satu domain kegagalan. Spanning tree melihat terowongan sebagai tautan, lalu lintas siaran memakan lebar pita terowongan, dan perangkat apa pun yang mengasumsikan segmen berlatensi rendah berperilaku salah dengan cara yang sulit diatribusikan dari kedua ujung.

Ini juga menghapus pemeriksaan pengalamatan yang menjaga Anda jujur. Dengan satu prefiks datar, alamat ganda bukan kesalahan perutean melainkan dua host yang diam-diam mencuri lalu lintas satu sama lain, dan prefiks yang tumpang tindih antara cabang dan lab umum dalam penyiapan lab rumahan, jadi penjembatanan tidak menyelesaikan konflik itu; ia membagikannya.

Argumen keamanan biasanya yang menentukan. Jembatan memperluas segmen tempat protokol tautan-lokal beroperasi, sehingga perangkat di cabang dapat berbicara dengan perangkat lab yang tidak pernah dimaksudkan dapat dijangkau dari luar. Jika lab memiliki hypervisor, konsol penyimpanan, dan antarmuka manajemen pada jaringan datar yang sama, itu kini satu segmen bersama cabang.

Nama tanpa siaran

Alasan orang menjembatani biasanya penemuan: printer, perangkat media, atau host lab yang tidak pernah muncul di daftar. Jawaban berute adalah layanan nama. Publikasikan host lab di zona yang dapat dijangkau resolver cabang, lalu biarkan pengguna terhubung dengan nama alih-alih memindai jaringan. Itu lebih banyak kerja di awal dan jauh lebih sedikit kerja pada setiap perubahan di masa depan.

Penemuan multicast adalah kasus yang lebih sulit, dan ia layak mendapat ketelitian. Protokol seperti mDNS menggunakan multicast tautan-lokal, yang tidak diteruskan router secara bawaan, sehingga host lab yang hilang dari daftar penemuan mungkin masih dapat dijangkau pada alamatnya yang terdokumentasi. Jika suatu layanan benar-benar memerlukan multicast, rencanakan protokol yang satu itu, dengan pemantul atau aturan penerusan bertarget, alih-alih menjembatani seluruh LAN sebagai perbaikan umum.

Pemantul juga bukan kemenangan gratis. Ia mengimpor lalu lintas cerewet yang sama yang Anda coba hindari, satu layanan pada satu waktu, dan ia membutuhkan pemilik yang akan menyadari ketika sebuah perangkat mulai mengiklankan lebih banyak daripada sebelumnya. Pilih per layanan, dan tuliskan alasannya. Catat layanan mana yang membutuhkannya dan apa yang diiklankannya, karena pembaruan firmware dapat mengubah daftar itu tanpa memberi tahu siapa pun.

Buat rancangan berute dapat diuji

Pilih satu target, misalnya antarmuka web lab pada subnet servernya sendiri, dan buktikan di kedua arah. Dari host di cabang, konfirmasi alamat dan layanan yang mendengarkan secara lokal, lalu hubungkan melalui terowongan dan ulangi. Terowongan yang menyala membuktikan gerbang sepakat; tentang firewall host atau rute balik ia tidak membuktikan apa pun.

Gateway normal lab memerlukan rute balik ke prefiks cabang kecuali rancangan sengaja menerjemahkan sumber, dan firewall server itu sendiri harus menerima rentang jauh yang diizinkan. Keduanya tidak dikonfigurasi oleh terowongan yang berhasil. Catatan penerusan strongSwan menjelaskan jalur paket yang harus bekerja di setiap sisi.

Lalu uji juga tujuan yang ditolak. Pengguna cabang yang membutuhkan satu aplikasi tidak membutuhkan konsol hypervisor, dan satu-satunya cara mengetahui kebijakan itu nyata adalah mencoba hal yang seharusnya ditolaknya. Catat prefiks, ketergantungan pada resolver, dan hasil uji, dan perubahan di masa depan pada salah satu situs dapat ditinjau dalam beberapa menit alih-alih dibangun ulang dari ingatan.