VPN საიტის გაფართოება: მიჰყევით დაბრუნების მარშრუტს კარიბჭის მიღმა

ფილიალიდან წამოსული ტრაფიკი მთავრდება კარიბჭეზე, რომლის LAN არ შეიცავს იმ აპლიკაციას, რომელზეც უნდა მიგეღწიათ. სერვერი მეორე მონაცემთა ცენტრშია, შიდა ხაზის იქით, რომელიც VPN-ს არასოდეს გაუმართავს. ახლო კარიბჭეზე კიდევ ერთი პრეფიქსის დამატება ამ შემთხვევისთვის არაფერს აკეთებს, რადგან შორეული კარიბჭე დაშიფვრის ბოლო წერტილია და არა ბოლო მარშრუტიზატორი. გზას სჭირდება წინსვლის მარშრუტი, დაშვება შორეულ უსაფრთხოების საზღვარზე და დაბრუნების გადაწყვეტილება დანიშნულების საკუთარ ქსელში.

შორეული კარიბჭე დაშიფვრის ბოლო წერტილია

კარიბჭე-კარიბჭე IPsec იცავს ტრაფიკს ორ უსაფრთხოების მოწყობილობას შორის, და შიდა მისამართები ამ სეგმენტს დაშიფრულად გადაკვეთს. შორეული კარიბჭის მიღმა ჩვეულებრივი მარშრუტიზაცია იღებს საქმეს, მათ შორის ნებისმიერი პოლიტიკა, რომელიც მონაცემთა ცენტრებს შორის არსებობს. ამიტომ დაცული სეგმენტი მოგზაურობის ნაწილს ფარავს და არა დანარჩენს. საპირისპიროს დაშვება ის გზაა, რომლითაც დიზაინი ჯანსაღი გვირაბით და მიუწვდომელი აპლიკაციით მთავრდება.

დახაზეთ გზა სამ ნაწილად: ფილიალიდან ახლო კარიბჭემდე, ახლოდან შორეულ კარიბჭემდე, შორეული კარიბჭიდან აპლიკაციამდე. თითოეულ ნაწილს თავისი მფლობელი და თავისი წარუმატებლობის წესი აქვს.

წაიკითხეთ გვირაბის პოლიტიკის ორივე მიმართულება

გვირაბის პოლიტიკა ჩვეულებრივ ლოკალური მხარის თვალსაზრისით იწერება და ნაწილობრივი კონფიგურაციები სწორედ ამ ჩვევიდან მოდის. ორივე მხარემ უნდა ჩამოთვალოს ფილიალის წყარო და დანიშნულება ისე, როგორც ისინი გვირაბში გამოჩნდება, მათ შორის ნებისმიერი თარგმანი, რომელიც დიზაინს გულისხმობს. მხოლოდ ახლო ბოლოს განახლება ქმნის მეორე ფაზის შეუსაბამობას, რომელიც მარშრუტიზაციის ჩავარდნას ჰგავს. შეადარეთ ორივე პოლიტიკის ნაკრები, სანამ რომელიმე მარშრუტს შეეხებით.

წყარო და დანიშნულება დაწერეთ მისამართებად და არა საიტის სახელებად. აქაური ბუნდოვანება მოგვიანებით დამაბნეველ ასიმეტრიად ბრუნდება.

დაამატეთ წინსვლის მარშრუტი და დაადასტურეთ დაშვება

შორეულ კარიბჭეს სჭირდება მარშრუტი აპლიკაციის ქვექსელისკენ, და მათ შორის ყველა მარშრუტიზატორმა უნდა დაუშვას ფილიალის წყარო. გადაამოწმეთ რა აქვს შორეულ კარიბჭეს სინამდვილეში და არა რას ამტკიცებს დიაგრამა.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

პირველი ბრძანება იუწყება გასასვლელ ინტერფეისს და შემდეგ ნახტომს, რომელსაც შორეული კარიბჭე ამ წყაროსთვის აირჩევდა, კითხვა, რომელზეც ჩვეულებრივი მარშრუტიზაციის ცხრილი ვერ უპასუხებს. კვალი აჩვენებს, სად ჩერდება პაკეტები, და შეწყვეტა შორეული კარიბჭის შემდეგ შიდა ტრანზიტზე მიუთითებს და არა გვირაბზე. როცა მარშრუტი არსებობს და ტრაფიკი მაინც ქრება, ჩაიწერეთ შორეულ კარიბჭეზე და წაიკითხეთ მომავალი წყაროს მისამართი, რადგან მოულოდნელი მისამართი ნიშნავს, რომ თარგმანი სადღაც დაუგეგმავად ხდება. აქ ყველა მისამართი დროებითია, ამიტომ ჩასვით რეალური ფილიალის, ტრანზიტის და აპლიკაციის ქვექსელები.

გამოსცადეთ ფილიალიდან, შემდეგ ხელახლა გამოსცადეთ ძველი გზა

მიღებას სჭირდება რეალური წყარო და არა შემოწმება შორეული კარიბჭიდან. გაუშვით შემოწმება ფილიალის ჰოსტიდან და იმავე ტესტში შეინახეთ ადრე მომუშავე დანიშნულებები.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

აპლიკაციის პასუხი ერთად ამტკიცებს წინსვლის გზას და დაბრუნების გზას, ხოლო ძველ დანიშნულებაზე ping ამტკიცებს, რომ ცვლილებამ არ დააზიანა ის, რაც უკვე მუშაობდა. ჩაიწერეთ წყაროს მისამართი, რომელსაც აპლიკაცია ლოგავს, რადგან მისი წვდომის წესები და ნებისმიერი დაბრუნების მარშრუტი ამ მნიშვნელობას უნდა შეესაბამებოდეს. სადაც ფილიალი გვირაბამდე თარგმნის, პოლიტიკის მისამართი და აპლიკაციის მიერ დანახული მისამართი დიზაინით განსხვავდება, ამიტომ ორივე ჩაიწერეთ. გაიმეორეთ ტესტი გასაღების განახლების ან მარშრუტიზაციის ცვლილების შემდეგ, რადგან ეს გზები ჩვეულებრივ ერთხელ მოწმდება და შემდეგ ავიწყდება.

დანიშნეთ მფლობელი სამივე სეგმენტიდან თითოეულს და დანიშნულების ქსელში არსებულ დაბრუნების მარშრუტს. გზა ოთხი მფლობელით იშლება მათ შორის არსებულ ნაპრალებში.