Маршрутталган же көпүрөлүү VPN: кардар эмнеге жетиши керектигине жараша тандаңыз

Маршрутталган кирүү тандалган кызматтарды жеткирет; көпүрөлүү кирүү сегментке кошулат. Кардар эмнеге жетиши керектигине жараша чечим кабыл алыңыз, анан курган чекти текшериңиз.

Бир күндө эки билет келет: бир колдонуучуга ички веб-колдонмо керек, ал эми бир инженерге стенддик шайман өзүн ошол эле Ethernet сегментинде тургандай алып жүрүшү керек. Экөөнө тең аларды VPNге салыңыз деп жооп берилет, жана кыйынчылык ушул жерден башталат. Маршрутталган туннель менен көпүрөлүү туннель ар кандай мамилелерди кеңейтет, жана ар бир суроо-талапка алардын бири гана туура келет. Топологияны тандоо — бул кирүү боюнча чечим, криптография жөндөөсү эмес.

Билет столунда бирдей көрүнгөн эки суроо-талап

Кызматкердин талабы — бул кызмат, IP аркылуу жеткиликтүү, сиз башкарбаган түзмөктөн. Инженердин талабы байланыш деңгээлинде: шайман Ethernet кадрларын жана берүү аркылуу табууну көрүүнү күтөт, жана балким өзүн деп эсептеген сегменттен DHCP.

Булар ар кандай суроолор, жана экөөнө тең көпүрө менен жооп берүү кызматкердин кирүүсүн себепсиз бүт кеңсе LANына кеңейтет.

Тандоодон мурун талапты бир сүйлөм менен жазыңыз: кайсы максаттар, кайсы протоколдор жана кайсы өнөктөштөр жергиликтүү болуп көрүнүшү керек. Эгер жооп хост жана порт болсо, маршруттоо аны камтыйт. Эгер жооп берүү менен гана сүйлөгөн түзмөктөр менен кадр деңгээлиндеги мамиле болсо, көпүрө жалгыз вариант болушу мүмкүн. Ортодогунун баары өндүрүштүк LANдын ордуна сыноо сегментине татыктуу.

Маршрут LAN мүчөлүгүнөн тар

Маршрутталган кардар туннелдин кошумча тармагында дарек жана сиз тандаган префикстерге маршруттар алат. Эгер саясат ошентсе, ал колдонмо серверине жетет, башка эч жерге жетпейт. Шлюз колдонуу чекитине айланат, ар бир тиешелүү жол андан өтсө.

Маршрутту уруксат менен алмаштырбаңыз. Кардарга кошумча тармакка кантип жетүүнү айтуу аны башка максатты сыноодон токтотпойт.

Кирүү көзөмөлүн агымды чындап аткара алган жерде колдонуңуз жана колдонмонун өз уруксаттарын ордунда калтырыңыз. Кенен багыттоо эрежеси же унутулган экинчи интерфейс диаграмма көрсөткөндөн көбүрөөк бере алат. Күчүндөгү эрежелерди окуңуз, ниет кылынгандарды эмес. Анан ийгиликсиз болушу керек болгон максатты сынаңыз, анткени эч ким бузууга аракет кылбаган саясат жөн гана божомол.

Көпүрө кабыл алуу суроосун өзгөртөт

Көпүрөлөө физикалык интерфейс менен TAP түзмөгүн программалык коммутаторго бириктирет, ошондуктан алыскы түзмөктөр бир берүү доменине кошулат. Бул чыныгы мүмкүнчүлүк жана чыныгы тобокелдик: алыскы түзмөк эми маршрутталган конок эмес, ал катышуучу.

Кайсы түзмөктөр кошула аларын, кайсы кадр түрлөрү өтүшү керектигин жана каалабаган өз ара аракеттениш кайда тоскоол болорун чечиңиз. Даректөө жана DHCP ыйгарым укугу жалпы тармактын бөлүгүнө айланат, жана бир сегменттеги эки DHCP сервери так күткөн башаламандыкты жаратат.

Шайман үчүн атайын сыноо сегменти адатта кеңсе LANынан жакшыраак туура келет. Башкаруу кирүүсүн эксперименттен тышкары кармаңыз жана жумуш бүткөндө убактылуу катышуучунун кантип алынаарын аныктаңыз.

Чыпкалоо эки топологияда тең бар

Көпүрө табиятынан чыпкаланбай турган эмес, ал эми маршрут табиятынан коопсуз эмес. Linux көпүрөсүн чыпкалоонун өз илгичтери жана өз эреже синтаксиси бар, жана маршрутталган IP багыттоо үчүн жазылган эреже көпүрөлөнгөн кадрларга автоматтык түрдө колдонулбайт.

Чек убада кылбастан мурун платформа чындап эмнени колдой турганын текшериңиз:

bridge link show
nft list ruleset

TUN жана TAP интерфейстин трафигин сүрөттөйт, шифрды эмес. Интерфейстерди алмаштыруу анын эч бирин оңдобойт: өнөктөштөрдү аутентификациялоо, уурдалган ачкыч жана эскирген криптографиялык саясат баары өзгөрүүдөн аман калат. Эки тарап тең дагы эле дал келген жана дагы эле колдоого алынган жөндөөлөргө муктаж.

Чекти үч аракет менен далилдеңиз

Кабыл алуу — бул үч байкоо, диаграмманы карап чыгуу эмес. Керектүү операция иштеши керек, байланышсыз максат ийгиликсиз болушу керек, ал эми шлюздун өз башкаруу кызматтары жеткиликсиз бойдон калышы керек.

Уруксат берилген жана баш тартылган жолду бир кардардан иштетиңиз жана экөөнү тең жазыңыз:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Көпүрө үчүн байланыш деңгээлиндеги текшерүүлөрдү кошуңуз: уруксат берилген табуу трафиги өтөбү, даректөө көздөлгөн ыйгарым укуктан келеби жана убактылуу катышуучу алынгандан кийин кеттиби. Жөнөкөй маршрутталган IP талапты канааттандырса, кеңсе Ethernet сегментине кошулуу өзүнчө негиздемени талап кылат жана ал өзгөрүүгө чейин жазылышы керек.

Тектеш макалалар