NetBird'дөгү эки LAN: кайсы теңдештер маршруттайт жана ким сүйлөй алат
Каттоо LANды маршруттабайт. Ар бир сайтка бир маршруттоочу теңдеш тандаңыз, маскалоону күйүк калтырыңыз, саясатты чектеңиз, анан ар бир LAN дарбазасына кийинки секирүүнү үйрөтүңүз.
Батыш LANдагы жумуш станциясы браузер ачат, чыгыш LANдагы колдонмонун дарегин терет жана убакыт бүткөнгө чейин күтөт. NetBirdдин ар бир экраны теңдештер туташкан дейт, бул туура жана ишке тиешеси жок: бир каптоо тармагында болуу эки жергиликтүү ички тармакты бир тармакта кармоо менен бирдей эмес. Төмөнкү жүрүш ошол жумуш станциясынан башталып, долбоор атайын четке каккан өтүнүч менен бүтөт, жана ар бир токтоо — божомол эмес, түзмөктөн окулаган нерсе. Жетишпеген бөлүк каптоо эмес, маршрут же саясат болот деп күтүңүз.
Алгач кемчиликти жумуш станциясынан окуңуз
Башкаруу консолун ачпасан мурун жумуш станциясы чындыгында эмне жиберерин аныктаңыз. Анын өз маршруттоо таблицасы пакеттин сайт дарбазасына, жергиликтүү интерфейске же эч жакка барбасын чечет, жана бул чечим эч кандай каптоо куралы жок эле көрүнөт. Алыскы префикске маршруту жок машина теңдештер тизмеси канчалык соо көрүнсө да ийгиликсиз болот. Каптоо диапазону менен сайттын өз префикси ар башка дарек мейкиндиктери, жана каттоо алардын бирин гана конфигурациялады.
Андан кийин аттарды чечүүнү жетүү мүмкүнчүлүгүнөн бөлүңүз, анткени браузер экөөнү тең бирдей убакыт бүтүү деп билдирет. Өтүнүчтү дарек боюнча NetBird кардары иштеген машинадан, анан ал жок жөнөкөй жумуш станциясынан кайталаңыз. Эгер катталган машина ийгиликтүү болуп, жөнөкөйү ийгиликсиз болсо, ажырым жергиликтүү маршруттоодо; экөө тең ийгиликсиз болсо, маршрутту өзгөртүүдөн мурун окуй бериңиз.
Ар бир сайтка бир маршруттоочу теңдеш тандаңыз
Маршруттоочу теңдеш — каптоодо өз LANын билдирген хост, ошондуктан бирөөнүн үстөл жумуш станциясынын ордуна ички тармакка туруктуу жетүү мүмкүнчүлүгү бар Linux машинасын тандаңыз. Аны кадимки процесс менен каттап, ролдун атындагы топко салыңыз, анткени тармактык ресурс менен саясат экөө тең ошол топко шилтеме жасайт. Сайтка бир өкүл түшүнүктүү бойдон калат; бир префиксти жарыялаган ыктыярчылар тобу ар бир кийинки суроону оңдоо сессиясына айландырат. Теңдештин жергиликтүү сегменттеги дареги анын каптоодогу инсандыгы сыяктуу эле маанилүү, анткени бул дарек ар бир жөнөкөй түзмөккө айтылуучу кийинки секирүү болот.
Консолго тийүүдөн мурун планды жазыңыз, анткени аттар менен префикстер ушул долбоорлордун тайгалаган жери: префикс, дарбаза, теңдештин дареги жана топ, ар бир сайтка. Батыш — 10.52.0.0/24, ага 10.52.0.5 кызмат кылат, чыгыш — 10.63.0.0/24, ага 10.63.0.5 кызмат кылат; эки топ — west-routers жана east-routers, жана эч бир префикс экинчиси менен, каптоо диапазону менен же башка маршрутталган дарек менен кабатташпашы керек.
Ресурсту түзүңүз, маскалоону күйүк калтырыңыз
Орнотулган тактада ар бир сайтка бир тармактык ресурс түзүп, ага ошол сайттын маршруттоочу теңдештер тобун тиркеңиз. Ресурс — префикс, топ — ага жооп берген хост, жана экөө тең бир нерсе жарыяланганга чейин болушу керек. Орнотулган өзүн-өзү коноктогон версияда Тармактар жумуш агымы барбы, аны текшериңиз, анткени аты окшош маршрут объектиси бар эски интерфейс — башка функция.
Маскалоону күйүк калтырыңыз. NetBirdдин сайттан сайтка колдонмосу бул жайгашууда аны талап кылат, ал эми ар бир баштапкы даректи көрүнүктүү кармоо үчүн аны өчүрүү — бир секирүү аз ошол эле долбоор эмес; ал каптоонун булак текшерүүлөрү менен саясаттары көргөн нерсени өзгөртөт. Натыйжаны ачык айткан жөн: кабыл алуучу кызмат булак катары маршруттоочу теңдешти жазат, жеке жумуш станциясын эмес. Эгер ошол кызматтын уруксат тизмеси же аудити жумуш станцияларынын даректерин күтсө, же күтүү өзгөрөт, же инсандык которууга чейин сайттын чек арасында таңууланышы керек.
Уруксатты баштагандарга бериңиз, префикстерге эмес
Маршрут даректи жеткиликтүү кылат, саясат ким аны колдоно аларын чечет; бул эки өзүнчө объект, өзүнчө ээлери менен. Саясатты жумуш жүктөмүнөн артка жазыңыз: кайсы топ баштайт, кайсы ресурсту бутага алат жана кайсы TCP кызматы керек. Эки префиксти тең ар бир катталган теңдешке жарыялаган тармак жеткиликтүүлүк жаратып, эч нерсени чечкен жок.
Анан дагы эмне уруксат берилгенин окуңуз, анткени кууш жаңы эреже анын үстүндө турган кенен эски эрежени жокко чыгарбайт. Чыгыш да батышка байланыш баштоосу керек болсо, бул багытты өзүнчө саясат катары жазыңыз; батыш ачкан сессиянын кайтарым трафиги чыгышка жаңы сессияларга уруксат берүүдөн башка суроо. Эгер батыштын айрым жумуш станциялары гана чыгыш колдонмосуна жетүүсү керек болсо, аларды которууга чейин сайттын чек арасында тандап, колдонмонун өз аутентификациясын ордунда калтырыңыз. Маршруттоочу теңдеш LAN трафигин бүт сайт катары ташыйт, колдонуучуга жараша каптоо инсандыгы катары эмес, ошондуктан колдонуучуга жараша эсеп башка жерден келиши керек.
Ар бир дарбазага кийинки секирүүнү үйрөтүңүз, анан баш тартууну сынаңыз
Жөнөкөй түзмөктөр каптоону эч качан көрбөйт, ошондуктан алардын өз дарбазасына алыскы префиксти маршруттоочу теңдештин LAN дарегине багыттаган статикалык маршрут керек. Бул — адамдар өткөрүп жиберген кадам, анткени NetBird ичинде көрүнгөн нерсенин баары эбак иштеп жатат, ал эми жөнөкөй жумуш станциялары дагы эле убакыт бүтүп жатат. Дарбаза демейки маршрутун кандай болсо ошондой сактайт; бул префикс — кошумча, алмаштыруу эмес.
Эки маршрут сүрөттөмөсү ар бир сайттын өз дарбаза конфигурациясына таандык, хосттогу кайра аныктоого эмес. Экөө тең жөнөкөй статикалык маршрут, жана эч бири демейки маршрутка тийбейт:
west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5Долбоорго чындап керектүү колдонмо менен, жөнөкөй жумуш станциясынан сынаңыз жана үч нерсени жазыңыз: жөнөтүүчү тарапта тандалган кийинки секирүү, дал келген саясат жана кызмат жазган булак дареги. Баш тартууну да сынаңыз, анткени эч качан эч нерсени четке какпаган долбоордун белгисиз четтери бар, жана баш тартуу — ишти маршруттоо эмес, саясат аткарарынын жалгыз далили. Чыгыш да баштоосу керек болсо, экинчи багыт өзү уланат деп ойлобой, ошол тараптан жаңы байланыш баштаңыз. Маршруттоочу теңдештин кайра иштетилишин, жаңыртылышын жана алмаштырылышын да пландаңыз, анткени бир хост сайттын көз карандылыгына айланды.
| Test | A pass looks like | A failure points at |
|---|---|---|
| Ordinary workstation opens the east application | Next hop on west is the routing peer | Missing static route on the west gateway |
| A source outside policy is refused | No session in the service log | Policy too broad, or a route bypasses it |
| East starts a connection, if required | A fresh reverse session succeeds | No policy for the reverse direction |
Жеке аттарга өз чечүүчү планы керек, анткени жеткиликтүүлүк DNS жазууларын жаратпайт, ал эми аты бузулган иштеген IP жолу дал бузулган жол сыяктуу окулат. Эгер маршруттоочу теңдеш булут тармагында иштесе, провайдердин багыттоо жана өрт дубал эрежелерин да карап чыгыңыз, анткени каттоо аларды жокко чыгарбайт. Сыноонун байкоолорун пландын жанында кармаңыз, анткени муну кийин оңдой турган адам топологиянын сүрөттөмөсүн эмес, дал келген саясатты жана жазылган булак дарегин каалайт.