Филиал мен зертхана арасындағы байланыс үшін бағдарланған VPN немесе көпірленген LAN

Филиалдың үй зертханасына жетуінің екі жолы бар және айырмашылық параметрде емес. Бөлек префикстер арасында бағдарлауға болады, сонда әр сайт өз хабар тарату доменін сақтайды, немесе екі LAN-ды біріктіріп көпірлеуге болады, сонда хабар таратулар мен ашу трафигі бәрі бір бөлмеде отырғандай әрекет етеді. Бағдарлау нақты желімен жанасуға төтеп беретін дизайн. Көпірлеу бірінші аптаны жеңіл, алғашқы іркілісті қызықты ететін дизайн. Төмендегі салыстыру әрқайсысының не беретіні мен қанша тұратыны, содан кейін бағдарланған нұсқаны қалай тексеруге болатыны туралы.

Қосылудың екі жолы, бір айқын ымыра

Бағдарланған байланыс үй зертханасын өз мекенжайлауы бар қашықтағы желі ретінде қарастырады. Филиал зертхана префиксін сұрайды, туннель осы пакеттерді тасымалдайды, ал зертхана шлюзі өз қосалқы желісінен жауап береді. Филиалдың ARP кестесінде ештеңе өзгермейді және зертхананың DHCP ауқымынан ештеңе филиалға жетпейді.

Көпірленген байланыс бір 2-қабат доменін екі сайтқа созады. Ашу протоколдары жұмыс істейді, құрылғылар автоматты түрде пайда болады және әрбір хабар тарату, әрбір ARP сұрауы мен әрбір multicast пакеті енді туннельден өтуге үміткер, яғни жергілікті сегмент үшін жасалған протоколдар тасымалдайтын және басқа MTU мен өзгермелі барыс-келіс уақыты бар WAN үшін жасалмаған үлкен көлемді трафик.

Бағдарлау не береді

Бірінші артықшылық — залал радиусы. Цикл, қажетсіз DHCP сервері немесе хабар тарату тасқыны оны тудырған сайтта қалады, өйткені маршрутизатор хабар таратуларды жібермейді. Екіншісі — мекенжайлаудың айқындылығы: филиал префиксі мен зертхана префиксі бөлек, сондықтан пакеттің межесі қай сайт жауап беруі керектігін айтады және қауіпсіздік қабырғасы ережесі „барлық жерден барлық жерге“ орнына „филиалдан зертхана қосалқы желісіне“ деп айта алады.

Үшіншісі — бұл туннель шын мәнінде тасымалдайтын нәрсеге сәйкес келеді. IPsec саясаты — префикстер жұбы, ал әр жақтағы жіберу жолы шлюзде жіберу қосылған қарапайым IP бағдарлау:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Сіз бас тартатын нәрсе — хабар тарату арқылы ашу. Бұл нақты жоғалту және оны бәрін көпірлеу арқылы айналып өтудің орнына әдейі алмастыру керек.

Көпірлеудің құны

Көпірлеу 2-қабат кадрларын туннель арқылы тасымалдауы керек, бұл қарапайым саясатқа негізделген туннельдің орнына IPsec үстінен GRE немесе VXLAN сияқты инкапсуляцияны білдіреді. Бұл пайда болғаннан кейін екі сайт бір ақау доменін бөліседі. Spanning tree туннельді байланыс ретінде көреді, хабар тарату трафигі туннель өткізу қабілетін жұмсайды және төмен кідіріс сегментін болжайтын кез келген құрылғы екі шетінен де байланыстыру қиын түрде дұрыс емес әрекет етеді.

Ол сондай-ақ сізді адал ұстайтын мекенжайлау тексеруін алып тастайды. Бір тегіс префикспен қайталанған мекенжай бағдарлау қатесі емес, бір-бірінің трафигін үнсіз ұрлайтын екі хост және филиал мен зертхана арасындағы қабаттасқан префикстер үй зертханасы құрылыстарында жиі кездеседі, сондықтан көпірлеу бұл қайшылықты шешпейді; оны таратады.

Әдетте шешімді қауіпсіздік дәлелі береді. Көпір link-local протоколдары жұмыс істейтін сегментті кеңейтеді, сондықтан филиалдағы құрылғы сыртынан қолжетімді болмауы тиіс зертхана құрылғыларымен сөйлесе алады. Зертханада бір тегіс желіде гипервизор, сақтау консолі мен басқару интерфейсі болса, бұл енді филиалмен бірге бір сегмент.

Хабар таратусыз атаулар

Адамдардың көпірлеу себебі әдетте ашу: тізімде ешқашан көрінбейтін принтер, медиа құрылғы немесе зертхана хосты. Бағдарланған жауап — атау қызметі. Зертхана хосттарын филиал шешушісі жете алатын аймақта жариялаңыз, содан кейін пайдаланушыларға желіні сканерлеудің орнына атау бойынша қосылуға рұқсат етіңіз. Бұл басында көбірек жұмыс және әрбір болашақ өзгерісте әлдеқайда аз жұмыс.

Multicast ашу — қиынырақ жағдай және дәлдікке лайық. mDNS сияқты протоколдар link-local multicast пайдаланады, маршрутизаторлар оны әдепкі бойынша жібермейді, сондықтан ашу тізімінде жоқ зертхана хосты құжатталған мекенжайында әлі де қолжетімді болуы мүмкін. Егер белгілі бір қызмет шынымен multicast талап етсе, бүкіл LAN-ды жалпы жөндеу ретінде көпірлеудің орнына сол бір протоколды рефлектормен немесе мақсатты жіберу ережесімен жоспарлаңыз.

Рефлектор да тегін жеңіс емес. Ол сіз құтылғыңыз келген сол сөзшең трафикті бір-бір қызмет ретінде әкеледі және құрылғы бұрынғыдан көбірек жарнамалай бастағанын байқайтын иесіне мұқтаж. Оны әр қызмет үшін таңдаңыз және неге екенін жазыңыз. Қай қызметке ол қажет болғанын және ол нені жарнамалайтынын жазып қойыңыз, өйткені прошивка жаңартуы бұл тізімді ешкімге айтпастан өзгертуі мүмкін.

Бағдарланған дизайнды тексеруге болатын етіңіз

Бір нысананы таңдаңыз, мысалы зертхананың өз сервер қосалқы желісіндегі веб интерфейсін, және оны екі бағытта дәлелдеңіз. Филиалдағы хосттан мекенжай мен тыңдап тұрған қызметті жергілікті растаңыз, содан кейін туннель арқылы қосылып, қайталаңыз. Тұрған туннель шлюздер келіскенін дәлелдейді; хост қауіпсіздік қабырғасы немесе қайтару жолы туралы ештеңе дәлелдемейді.

Зертхананың қалыпты шлюзіне филиал префиксіне қайтару жолы қажет, егер дизайн көзді әдейі аудармаса, және сервердің өз қауіпсіздік қабырғасы рұқсат етілген қашықтағы диапазонды қабылдауы керек. Екеуін де сәтті туннель конфигурацияламайды. strongSwan жіберу жазбалары әр жақта жұмыс істеуі тиіс пакет жолын сипаттайды.

Содан кейін тыйым салынған межені де сынап көріңіз. Бір қолданбаға мұқтаж филиал пайдаланушысына гипервизор консолі қажет емес және саясаттың нақты екенін білудің жалғыз жолы — ол бас тартуы тиіс нәрсені дәл сынау. Префикстерді, шешушіге тәуелділікті және сынақ нәтижелерін жазып қойыңыз, ал сайттардың біріндегі болашақ өзгерісті жадтан қайта құрудың орнына бірнеше минутта қарап шығуға болады.