VPN með leiðsendingu eða brúað LAN fyrir tengingu útibús við labb

Það eru tvær leiðir til að láta útibú ná í heimalabb, og munurinn er ekki stilling. Þú getur beint á milli aðskilinna forskeyta, þannig að hver staður heldur sínu eigin útvarpsléni, eða þú getur brúað netin tvö í eitt, þannig að útvarpssendingar og uppgötvunarumferð hegða sér eins og allir séu í sama herbergi. Leiðsending er hönnunin sem stenst snertingu við raunverulegt net. Brúun er hönnunin sem gerir fyrstu vikuna auðvelda og fyrsta bilunina áhugaverða. Samanburðurinn hér að neðan fjallar um hvað hvort um sig gefur þér og hvað það kostar, og síðan hvernig á að gera leiðsendingarútgáfuna prófanlega.

Tvær leiðir til að tengjast, ein augljós málamiðlun

Leidd tenging meðhöndlar heimalabbið sem fjarnet með eigin vistföngum. Útibúið biður um labbforskeytið, göngin flytja þessi pakka, og labbhliðið svarar úr sínu eigin undirneti. Ekkert í ARP-töflu útibúsins breytist, og ekkert af DHCP-sviði labbsins nær til útibúsins.

Brúuð tenging teygir eitt lag 2-lén yfir báða staði. Uppgötvunarferlar virka, tæki birtast sjálfkrafa, og hver útvarpssending, hver ARP-beiðni og hver fjölvarpspakki er nú kandídat til að fara í gegnum göngin, sem er mikið magn umferðar borinn af ferlum sem eru hannaðir fyrir staðbundið svið en ekki WAN með öðru MTU og breytilegum hringtíma.

Hvað leiðsending gefur þér

Fyrsti kosturinn er umfang skaðans. Lykkja, óprúður DHCP-þjónn eða útvarpsflóð helst á staðnum sem skapaði það, því beinir senda ekki útvarpssendingar áfram. Sá annar er skýrleiki vistfanga: forskeyti útibúsins og forskeyti labbsins eru aðskilin, svo áfangastaður pakka segir þér hvaða staður eigi að svara, og eldveggjarregla getur sagt „útibú í labbnet“ í stað „hvert sem er á hvert sem er“.

Sá þriðji er að það passar við það sem göngin flytja í raun. IPsec-stefna er par af forskeytum, og framsendingarleiðin á hvorri hlið er venjuleg IP-beining með framsendingu virkri á hliðinu:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Það sem þú gefur eftir er uppgötvun með útvarpssendingu. Það er raunverulegt tap, og það á að koma í staðinn af ásetningi frekar en að fara framhjá því með því að brúa allt.

Hvað brúun kostar

Brúun verður að flytja lag 2-ramma yfir göng, sem þýðir umbúðir eins og GRE eða VXLAN yfir IPsec frekar en venjuleg stefnutengd göng. Þegar það er til deila tveir staðirnir bilunarléni. Spanning tree sér göngin sem tengingu, útvarpsumferð etur bandvídd ganganna, og hvert tæki sem gerir ráð fyrir sviði með litla seinkun hegðar sér rangt á vegu sem erfitt er að rekja frá báðum endum.

Það fjarlægir líka vistfangaeftirlitið sem heldur þér heiðarlegum. Með einu flötu forskeyti er tvöfalt vistfang ekki beiningarmistök heldur tveir hýslar sem stela umferð hvors annars hljóðlega, og skarast forskeyti milli útibús og labbs eru algeng í heimalabsuppsetningum, svo brúun leysir ekki þann árekstur; hún dreifir honum.

Öryggisrökín eru þau sem oftast ráða úrslitum. Brú teygir sviðið þar sem link-local ferlar starfa, svo tæki í útibúinu getur talað við labbtæki sem aldrei áttu að vera aðgengileg að utan. Ef labbið er með hypervisor, geymslukonsól og stjórnviðmót á sama flata neti er það nú eitt svið ásamt útibúinu.

Nöfn án útvarpssendinga

Ástæðan fyrir því að fólk brúar er venjulega uppgötvun: prentari, miðlatæki eða labbhýsill sem birtist aldrei á lista. Svarið með leiðsendingu er nafnaþjónusta. Birtu labbhýslana í svæði sem uppflettiþjónn útibúsins nær í, og láttu notendur þá tengjast eftir nafni í stað þess að skanna netið. Það er meiri vinna í upphafi og verulega minni vinna við hverja framtíðarbreytingu.

Fjölvarpsuppgötvun er erfiðara tilfellið, og hún á skilið nákvæmni. Ferlar eins og mDNS nota link-local fjölvarp, sem beinir senda ekki áfram sjálfgefið, svo labbhýsill sem vantar á uppgötvunarlista getur samt verið aðgengilegur á skráðu vistfangi sínu. Ef tiltekin þjónusta krefst sannarlega fjölvarps skaltu skipuleggja þá eina þjónustu, með endurvarpa eða markvissri framsendingarreglu, frekar en að brúa allt LAN-ið sem almenna viðgerð.

Endurvarpi er ekki heldur ókeypis sigur. Hann flytur inn sömu skrafhreifnu umferðina og þú reyndir að komast hjá, eina þjónustu í einu, og hann þarf eiganda sem tekur eftir þegar tæki byrjar að auglýsa meira en áður. Veldu hann fyrir hverja þjónustu, og skrifaðu niður hvers vegna. Skráðu hvaða þjónusta þurfti hann og hvað hún auglýsir, því fastbúnaðaruppfærsla getur breytt þeim lista án þess að segja neinum frá.

Gerðu leiðsendingarhönnunina prófanlega

Veldu eitt mark, til dæmis vefviðmót labbsins á eigin undirneti þjóna, og sannaðu það í báðar áttir. Staðfestu á hýsli í útibúinu vistfangið og hlustandi þjónustuna staðbundið, tengstu svo í gegnum göngin og endurtaktu. Göng sem eru uppi sanna að hliðin eru sammála; þau sanna ekkert um eldvegg hýsilsins eða afturleiðina.

Venjulegt hlið labbsins þarf leið til baka að forskeyti útibúsins nema hönnunin þýði upprunann viljandi, og eldveggur þjónsins sjálfs verður að samþykkja leyft fjarsvæði. Hvorugt er stillt af vel heppnuðum göngum. Framsendingarathugasemdir strongSwan lýsa pökkunni sem verður að virka á hvorri hlið.

Prófaðu síðan líka áfangastað sem er neitað. Notandi í útibúi sem þarf eitt forrit þarf ekki hypervisor-konsólina, og eina leiðin til að vita að stefnan sé raunveruleg er að prófa einmitt það sem hún á að neita. Skráðu forskeytin, uppflettiþjónsháðina og prófunarniðurstöðurnar, og framtíðarbreyting á öðrum hvorum staðnum er yfirfarin á mínútum í stað þess að vera byggð upp aftur úr minni.