VPN сайтын кеңейту: шлюзден әрі қарай қайту маршрутын бақылаңыз

Филиалдан келетін трафик өзіңізге жету талап етілген қолданбаны LAN-да қамтымайтын шлюзде аяқталады. Сервер екінші деректер орталығында, VPN ешқашан конфигурацияламаған ішкі байланыс арғы жағында орналасқан. Жақын шлюзге тағы бір префикс қосу бұл жағдай үшін ештеңе істемейді, өйткені алыс шлюз — соңғы маршрутизатор емес, шифрлау соңғы нүктесі. Жолға алға бағытталған маршрут, алыс қауіпсіздік шекарасында рұқсат және тағайындалу желісінің өзінде қайту шешімі қажет.

Алыс шлюз — шифрлау соңғы нүктесі

Шлюз-шлюз IPsec екі қауіпсіздік құрылғысы арасындағы трафикті қорғайды, ал ішкі мекенжайлар сол сегменттен шифрланған күйде өтеді. Алыс шлюзден әрі қарай қарапайым маршруттау қолға алады, соның ішінде деректер орталықтары арасындағы кез келген саясат. Сондықтан қорғалған сегмент сапардың бір бөлігін қамтиды, қалғанын емес. Керісінше деп болжау — дизайнның сау туннель мен қолжетімсіз қолданбамен аяқталу жолы.

Жолды үш бөлікке бөліп сызыңыз: филиалдан жақын шлюзге, жақыннан алыс шлюзге, алыс шлюзден қолданбаға. Әр бөліктің өз иесі және өз істен шығу тәсілі бар.

Туннель саясатының екі бағытын да оқыңыз

Туннель саясаты әдетте жергілікті тараптың көзқарасынан жазылады және ішінара конфигурациялар дәл осы әдеттен шығады. Екі тарап та филиал көзін және тағайындалуды туннель ішінде көрінетіндей тізімдеуі керек, дизайн көздеген кез келген аударманы қоса. Тек жақын ұшын жаңарту екінші фазаның сәйкессіздігін тудырады, ол маршруттау ақауына ұқсайды. Кез келген маршрутқа қол тигізбес бұрын екі саясат жиынтығын салыстырыңыз.

Көз мен тағайындалуды сайт атаулары ретінде емес, мекенжай ретінде жазыңыз. Мұндағы екіұштылық кейін түсініксіз асимметрия ретінде қайта оралады.

Алға маршрутты қосып, рұқсатты растаңыз

Алыс шлюзге қолданбаның ішкі желісіне қарай маршрут қажет, ал олардың арасындағы әр маршрутизатор филиал көзін рұқсат етуі керек. Диаграмма айтқанды емес, алыс шлюздің шын мәнінде не бар екенін тексеріңіз.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Бірінші пәрмен алыс шлюздің сол көз үшін таңдайтын шығу интерфейсі мен келесі секірісін хабарлайды, бұл қарапайым маршруттау кестесі жауап бере алмайтын сұрақ. Із пакеттердің қайда тоқтайтынын көрсетеді, ал алыс шлюзден кейінгі үзіліс туннельді емес, ішкі транзитті меңзейді. Маршрут бар болса да трафик жоғалып жатса, алыс шлюзде түсіріп, келе жатқан көз мекенжайын оқыңыз, өйткені күтпеген мекенжай аударманың жоспарланбаған жерде жүріп жатқанын білдіреді. Мұндағы барлық мекенжайлар толтырғыштар, сондықтан нақты филиал, транзит және қолданба ішкі желілерін қойыңыз.

Филиалдан сынап көріңіз, содан кейін ескі жолды қайта сынаңыз

Қабылдау үшін алыс шлюзден тексеру емес, нақты көз қажет. Тексеруді филиал хосттан орындап, бұрын жұмыс істеген тағайындалуларды сол сынақта сақтаңыз.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Қолданбаның жауабы алға бағытталған жолды және қайту жолын бірге дәлелдейді, ал ескі тағайындалуға ping өзгеріс бұрын жұмыс істегенді бұзбағанын дәлелдейді. Қолданба жазатын көз мекенжайын алыңыз, өйткені оның кіру ережелері мен кез келген қайту маршруты сол мәнге сәйкес болуы керек. Филиал туннельге дейін аударса, саясат мекенжайы мен қолданба көретін мекенжай дизайн бойынша өзгеше, сондықтан екеуін де жазып алыңыз. Кілтті жаңартқаннан немесе маршруттау өзгергеннен кейін сынақты қайталаңыз, өйткені бұл жолдар әдетте бір рет тексеріліп, содан кейін ұмытылады.

Үш сегменттің әрқайсысына және тағайындалу желісінің ішіндегі қайту маршрутына ие тағайындаңыз. Төрт иесі бар жол олардың арасындағы олқылықтарда істен шығады.