Хаб-спица жана толук тор: сайттарыңызга кайсы VPN топология ылайыктуу
Эки иштеп турган туннель азырынча топология эмес. Хаб, тор же бир нече түз байланышы бар хаб тандоодон мурун транзитти, бузулуу учурундагы жүрүм-турумду жана өзгөрүү наркын салыштырыңыз.
Эки филиал күнү бою бири-бири менен сүйлөшөт, ал эми алардын ортосундагы туннель башка аймактагы дата-борбор аркылуу айланып өтөт. Ар бир суроо ошол айланма жол үчүн эки жолу төлөйт, ал эми файл синхрондоо биртүрлүү боло баштаганга чейин эч ким байкабайт. Топология жөнүндөгү суроо ушундан башталат: кайсы схема туруктуураак көрүнөт дегенде эмес, кайсы трафик үлгүсү үчүн акы төлөп жатканыңызда. Эки долбоор тең иштейт жана экөө тең ар башка жол менен, ар башка нарк менен иштен чыгат.
Эң оболу пир мамилелеринин санын эсептеңиз
N сайт болсо, толук торго Nди N минус бирге көбөйтүп, экиге бөлгөндөй туннель керек, ал эми хабка N жетет. Беш сайтта бул онго каршы беш, азырынча көтөрүүгө болот окшойт. Он беш сайтта бул 105ке каршы он беш болот, ал эми айырма эми арифметика эмес, штат маселеси.
Ошол мамилелердин ар бири сиз ээ болушуңуз керек болгон абалды алып жүрөт. IPsecте бул коопсуздук ассоциациясы, идентификация, ачкыч же сертификат, өлүк пирди аныктоо жана ар бир алыскы префикс үчүн жок дегенде бир маршрут. WireGuardта бул ар бир пир үчүн ачык ачкыч жана AllowedIPs блогы; пир башына арзаныраак, бирок таптакыр ачуу мүмкүнчүлүгү жок: жаңы сайт баары бир бардык эски сайттардын конфигурациясын өзгөртүүнү талап кылат.
Чечимди сүрөт эмес, трафик курамы кабыл алсын
Эгер филиал трафиги негизинен борбордук ERP же файл кластерине сурамдар болсо, хаб компромисс эмес, туура форма: трафик буга чейин эле ошол жакка баргысы келген, ал эми бир саясат чекити жуп-жуп эрежелер торуна караганда текшерүүгө жеңил. Тор татаалдыгын филиалдар бири-бири менен маалымат алмашканда актайт: эки кеңсе ортосундагы репликация, сайттар ортосундагы үн, ондогон инженер күнү бою ачкан CAD бөлүшүүсү.
Ыңгайсыз учурлар ушунун ортосунда жатат жана алар көпчүлүк. Уюм схемасынан болжолдобой, талашпас бурун өлчөңүз.
| Signal | Points to a hub | Points to a mesh |
|---|---|---|
| Branch-to-branch traffic | Occasional, small | Dominant, all day |
| Site count | Growing, past ten | Small and stable |
| Change rate | Frequent adds and moves | Rare |
| Failure tolerance | A second hub is affordable | Every site must survive alone |
Таблицаны эреже эмес, теңдештиргич катары окуңуз. Төрт саптын үчөө бир жакты көрсөтсө, адатта долбоор чечилет, ал эми бөлүнүү гибрид дегенди билдирет, көпчүлүк жетилген тармактар акыры ошентүп иштейт.
Хабка форварддоону айтуу керек
Эки иштеп турган спица-хаб туннели спицалар ортосунда жетүүнү түзбөйт. Хабда IP форварддоо күйгүзүлүшү, ар бир спица тармагына маршрут, транзитке уруксат берүүчү брандмауэр эрежеси жана кайтаруу жолунун эсептелиши керек; ар бир спицага экинчи сайттын префикстерине маршрут керек. Linux хабында бул net.ipv4.ip_forward=1 жана жупту үнсүз таштабаган FORWARD чынжыры, ал эми саясатка негизделген IPsecте эки учунда тең алыскы спица ички тармагын көрсөткөн трафик селекторлору. strongSwanдын форварддоо жазуулары ядро жана брандмауэр жагын камтыйт, дал ошол катмар жетишпегенде. Арзан тест: бир спицадан экинчисиндеги кызматка трафик жиберип, хабдын эсептегичтерин байкоо; эч качан өспөгөн эреже маршрут эмес, тартип туура эмес экенин билдирет.
Борбордук саясат да пайдалуу бөлүгү. Филиалдарга жалпы кызматтарга жетүүгө уруксат берип, бири-бирине жетпешин камсыз кылса болот, жана бул жетүү матрицасын ачык жазып коюуга татыктуу. Жок маршруттар адам окуй алган эреженин ордун баса албайт.
Жарым бүткөн версиядан этият болуңуз: A спицасы хаб аркылуу B спицасына маршруттайт, хаб эки жакка тең маршруттайт, ал эми хабдын брандмауэри Aдан жаңы байланыштарга уруксат берет, Bдан бербейт. Биринчи багыт жакшы өтөт, экинчиси илишет, бул маршруттоо бузулушуна окшош, бирок андай эмес.
Алгач бузулушту, анан кадимки жолду долбоорлоңуз
Жалгыз хаб жалпы көз карандылык жана транзит бөтөлкөсү, ал эми хаб долбоорлору адатта резервдоодо жаңылышат. Эки хаб болсо, ар бир спица эки туннель кармайт жана кайтаруу жолу чыгуучу жол менен макулдашууга тийиш; макулдашпаса, абалга негизделген брандмауэр жоопторду таштайт, ал эми симптом — ачылып, анан өлгөн байланыш. Ири жайылтуулар муну статикалык префикстердин ордуна туннелдер үстүндөгү маршруттоо протоколу менен чечет, бул көбүрөөк механизм, бирок божомолдоону жоятот. Эмнени тандасаңыз да, кайтаруу жолун чыгуучу жолдун жанына жазыңыз, анткени эч ким текшербеген жарым — дал ошол кайтаруу жарымы.
Тор бул тобокелдикти таратат: бир сайттын каналы өчсө, калгандары обочолонбойт. Ал маршрут тандоо сизди таң калтыра турган жерлерди да көбөйтөт, ал эми колдонмо сессиялары дагы эле жардамсыз жол өзгөрүүсүнөн аман калбайт.
Эки долбоордун эч бири TCP сессиясын которулуу учурунда өз алдынча тирүү кармабайт. Колдонмо кайра туташа албаса, топология сиздин маселеңиз эмес.
Өзгөрүү наркы боюнча тандап, анан маршруттарды текшериңиз
Жаңылышуу арзаныраак болгондуктан, хабдан баштаңыз, ал эми трафиги муну актаган жуптарга түз туннелдерди кошуңуз. Бул гибрид чечим кабыл ала албастык эмес; көпчүлүк уюм бир жылдын ичинде келип токтогон долбоор ушул. Маанилүүсү — ар бир түз байланыштын айтылган себеби жана ээси бар экени.
Анан бир эмес, эки сүрөттү текшериңиз. Кадимки жол үчүн ар бир сайттан ар бир кызмат префиксине traceroute иштетип, хоптордун схемага туура келгенин ырастаңыз. Бузулуу жолу үчүн бир туннелди өчүрүп, кайталаңыз, анткени баары турганда гана иштеген маршрут долбоорлонгон эмес, жөн гана конфигурацияланган.
Эки сүрөттү тең жетүү матрицасы менен бирге сактаңыз жана сайт кошулганда аларга кайра кайтыңыз; сиз башкарган нарк — кийинки өзгөрүүнүн наркы, азыркы сүрөттүн кооздугу эмес.