მარშრუტიზებული VPN თუ ხიდიანი LAN ფილიალსა და ლაბორატორიას შორის კავშირისთვის

ფილიალის სახლის ლაბორატორიამდე მისვლის ორი გზა არსებობს და განსხვავება პარამეტრი არ არის. შეგიძლიათ მარშრუტიზაცია გააკეთოთ ცალკეულ პრეფიქსებს შორის, რათა თითოეულმა საიტმა შეინარჩუნოს საკუთარი მაუწყებლობის დომენი, ან ორი LAN ერთში ხიდით დააკავშიროთ, რათა მაუწყებლობები და აღმოჩენის ტრაფიკი ისე მოიქცეს, თითქოს ყველა ერთ ოთახში იყოს. მარშრუტიზაცია ის დიზაინია, რომელიც უძლებს ნამდვილ ქსელთან შეხებას. ხიდი ის დიზაინია, რომელიც პირველ კვირას მარტივს და პირველ გათიშვას საინტერესოს ხდის. ქვემოთ მოცემული შედარება ეხება იმას, თუ რას იძლევა თითოეული და რა ღირს, შემდეგ კი იმას, თუ როგორ გავხადოთ მარშრუტიზებული ვერსია შესამოწმებელი.

დაკავშირების ორი გზა, ერთი აშკარა კომპრომისი

მარშრუტიზებული კავშირი სახლის ლაბორატორიას განიხილავს როგორც დისტანციურ ქსელს საკუთარი მისამართებით. ფილიალი ითხოვს ლაბორატორიის პრეფიქსს, გვირაბი გადააქვს ამ პაკეტებს და ლაბორატორიის კარიბჭე პასუხობს საკუთარი ქვექსელიდან. ფილიალის ARP ცხრილში არაფერი იცვლება და ლაბორატორიის DHCP დიაპაზონიდან არაფერი აღწევს ფილიალამდე.

ხიდიანი კავშირი ერთ 2-დონის დომენს ავრცელებს ორივე საიტზე. აღმოჩენის პროტოკოლები მუშაობს, მოწყობილობები ავტომატურად ჩნდება და ყოველი მაუწყებლობა, ყოველი ARP მოთხოვნა და ყოველი multicast პაკეტი ახლა გვირაბის გადაკვეთის კანდიდატია, ანუ დიდი რაოდენობის ტრაფიკი, რომელსაც ატარებენ ლოკალური სეგმენტისთვის შექმნილი პროტოკოლები და არა WAN-ისთვის, რომელსაც სხვა MTU და ცვალებადი მიმოსვლის დრო აქვს.

რას გაძლევთ მარშრუტიზაცია

პირველი უპირატესობა ზიანის რადიუსია. მარყუჟი, არასასურველი DHCP სერვერი ან მაუწყებლობის წყალდიდობა რჩება იმ საიტზე, რომელმაც ის შექმნა, რადგან მარშრუტიზატორი მაუწყებლობებს არ გადასცემს. მეორე მისამართების სიცხადეა: ფილიალის პრეფიქსი და ლაბორატორიის პრეფიქსი განსხვავებულია, ამიტომ პაკეტის დანიშნულება გეუბნებათ, რომელმა საიტმა უნდა უპასუხოს, და ფაირვოლის წესს შეუძლია თქვას „ფილიალიდან ლაბორატორიის ქვექსელში“ და არა „ყველგან ყველგან“.

მესამე ის არის, რომ ეს ემთხვევა იმას, რასაც გვირაბი რეალურად გადააქვს. IPsec პოლიტიკა პრეფიქსების წყვილია და გადაცემის გზა თითოეულ მხარეს ჩვეულებრივი IP მარშრუტიზაციაა კარიბჭეზე ჩართული გადაცემით:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

რასაც თმობთ, ეს არის აღმოჩენა მაუწყებლობით. ეს რეალური დანაკარგია და ის განზრახ უნდა შეიცვალოს, და არა გვერდი უნდა აუაროს ყველაფრის ხიდით დაკავშირებით.

რა ღირს ხიდი

ხიდმა უნდა გადაიტანოს 2-დონის ჩარჩოები გვირაბში, რაც ნიშნავს ინკაფსულაციას, როგორიცაა GRE ან VXLAN IPsec-ის ზემოთ, და არა უბრალო პოლიტიკაზე დაფუძნებულ გვირაბს. როცა ეს არსებობს, ორი საიტი ერთი წარუმატებლობის დომენს იზიარებს. Spanning tree გვირაბს ბმულად ხედავს, მაუწყებლობის ტრაფიკი გვირაბის გამტარუნარიანობას ხარჯავს და ნებისმიერი მოწყობილობა, რომელიც დაბალი შეყოვნების სეგმენტს ვარაუდობს, არასწორად იქცევა ისე, რომ რთულია ორივე ბოლოდან მიკუთვნება.

ის ასევე აშორებს მისამართების შემოწმებას, რომელიც პატიოსნად გიჭერთ. ერთი ბრტყელი პრეფიქსით დუბლირებული მისამართი მარშრუტიზაციის შეცდომა არ არის, არამედ ორი ჰოსტი, რომლებიც ერთმანეთის ტრაფიკს ჩუმად იპარავენ, და ფილიალსა და ლაბორატორიას შორის გადაფარული პრეფიქსები სახლის ლაბორატორიის აწყობებში გავრცელებულია, ამიტომ ხიდი ამ კონფლიქტს არ წყვეტს; ის ანაწილებს მას.

ჩვეულებრივ გადაწყვეტილებას უსაფრთხოების არგუმენტი იღებს. ხიდი ავრცელებს სეგმენტს, რომელზეც link-local პროტოკოლები მუშაობენ, ამიტომ ფილიალში მოწყობილობას შეუძლია ისაუბროს ლაბორატორიის მოწყობილობებთან, რომლებიც არასდროს უნდა ყოფილიყო გარედან ხელმისაწვდომი. თუ ლაბორატორიას აქვს ჰიპერვიზორი, შენახვის კონსოლი და მართვის ინტერფეისი ერთსა და იმავე ბრტყელ ქსელში, ეს ახლა ერთი სეგმენტია ფილიალთან ერთად.

სახელები მაუწყებლობის გარეშე

მიზეზი, რის გამოც ადამიანები ხიდს აკეთებენ, ჩვეულებრივ აღმოჩენაა: პრინტერი, მედია მოწყობილობა ან ლაბორატორიის ჰოსტი, რომელიც არასდროს ჩნდება სიაში. მარშრუტიზებული პასუხი სახელების სერვისია. გამოაქვეყნეთ ლაბორატორიის ჰოსტები ზონაში, რომელსაც ფილიალის რეზოლვერი აღწევს, შემდეგ კი მიეცით მომხმარებლებს საშუალება დაუკავშირდნენ სახელით, ქსელის სკანირების ნაცვლად. ეს დასაწყისში მეტი სამუშაოა და ყოველ მომავალ ცვლილებაზე მნიშვნელოვნად ნაკლები სამუშაო.

Multicast აღმოჩენა უფრო რთული შემთხვევაა და სიზუსტეს იმსახურებს. პროტოკოლები, როგორიცაა mDNS, იყენებენ link-local multicast-ს, რომელსაც მარშრუტიზატორები ნაგულისხმევად არ გადასცემენ, ამიტომ აღმოჩენის სიაში დაკარგული ლაბორატორიის ჰოსტი შეიძლება კვლავ ხელმისაწვდომი იყოს თავის დოკუმენტირებულ მისამართზე. თუ კონკრეტული სერვისი ნამდვილად მოითხოვს multicast-ს, დაგეგმეთ ის ერთი პროტოკოლი, რეფლექტორით ან მიზნობრივი გადაცემის წესით, და არა მთელი LAN-ის ხიდით დაკავშირება ზოგად შეკეთებად.

რეფლექტორიც არ არის უფასო მოგება. ის შემოიტანს იმავე ლაყუჩა ტრაფიკს, რომლის თავიდან აცილებასაც ცდილობდით, თითო სერვისის მიხედვით, და სჭირდება მფლობელი, რომელიც შეამჩნევს, როცა მოწყობილობა უფრო მეტის რეკლამირებას დაიწყებს, ვიდრე ადრე. აირჩიეთ ის თითოეული სერვისისთვის და ჩაწერეთ რატომ. ჩაინიშნეთ, რომელ სერვისს სჭირდებოდა ის და რას რეკლამირებს, რადგან firmware-ის განახლებამ შეიძლება შეცვალოს ეს სია ვინმესთვის თქმის გარეშე.

გახადეთ მარშრუტიზებული დიზაინი შესამოწმებელი

აირჩიეთ ერთი სამიზნე, მაგალითად ლაბორატორიის ვებ ინტერფეისი საკუთარ სერვერის ქვექსელში, და დაამტკიცეთ ორივე მიმართულებით. ფილიალის ჰოსტიდან ადგილობრივად დაადასტურეთ მისამართი და მოსმენის სერვისი, შემდეგ დაუკავშირდით გვირაბით და გაიმეორეთ. აწეული გვირაბი ადასტურებს, რომ კარიბჭეები თანხმდებიან; ჰოსტის ფაირვოლის ან დაბრუნების მარშრუტის შესახებ არაფერს ადასტურებს.

ლაბორატორიის ჩვეულებრივ კარიბჭეს სჭირდება გზა უკან ფილიალის პრეფიქსამდე, თუ დიზაინი განზრახ არ თარგმნის წყაროს, და თავად სერვერის ფაირვოლმა უნდა მიიღოს დაშვებული დისტანციური დიაპაზონი. არც ერთს არ აყენებს წარმატებული გვირაბი. strongSwan-ის გადაცემის შენიშვნები აღწერს პაკეტის გზას, რომელიც თითოეულ მხარეს უნდა მუშაობდეს.

შემდეგ გამოსცადეთ აკრძალული დანიშნულებაც. ფილიალის მომხმარებელს, რომელსაც ერთი აპლიკაცია სჭირდება, არ სჭირდება ჰიპერვიზორის კონსოლი, და ერთადერთი გზა იმის გასაგებად, რომ პოლიტიკა ნამდვილია, არის ზუსტად იმის გამოცდა, რაზეც მან უნდა უარი თქვას. ჩაინიშნეთ პრეფიქსები, რეზოლვერზე დამოკიდებულება და ტესტის შედეგები, და ნებისმიერ საიტზე მომავალი ცვლილება წუთებში გადაიხედება და არა მეხსიერებიდან ხელახლა აშენდება.