Филиал менен лабораториянын ортосундагы байланыш үчүн багытталган VPN же көпүрөлүү LAN

Филиалдын үй лабораториясына жетүүсүнүн эки жолу бар жана айырма параметрде эмес. Өзүнчө префикстердин ортосунда багыттоого болот, ошентип ар бир сайт өзүнүн берүү доменин сактайт, же эки LANды бириктирип көпүрөлөөгө болот, ошентип берүүлөр жана ачуу трафиги бардыгы бир бөлмөдө отургандай иштейт. Багыттоо чыныгы тармак менен тийишүүгө туруштук бере турган долбоор. Көпүрөлөө биринчи жуманы жеңил, алгачкы бузулушту кызыктуу кыла турган долбоор. Төмөнкү салыштыруу ар бири эмне берерин жана канча турарын, андан кийин багытталган версияны кантип текшерүүгө болорун сүйлөйт.

Туташуунун эки жолу, бир айкын компромисс

Багытталган байланыш үй лабораториясын өз дареги бар алыскы тармак катары карайт. Филиал лаборатория префиксин сурайт, туннель бул пакеттерди ташыйт, ал эми лаборатория шлюзу өзүнүн кошумча тармагынан жооп берет. Филиалдын ARP таблицасында эч нерсе өзгөрбөйт жана лабораториянын DHCP камтышынан эч нерсе филиалга жетпейт.

Көпүрөлүү байланыш бир 2-катмар доменин эки сайтка созот. Ачуу протоколдору иштейт, түзмөктөр автоматтык түрдө пайда болот жана ар бир берүү, ар бир ARP суроосу жана ар бир multicast пакети эми туннелден өтүүгө талапкер, башкача айтканда жергиликтүү сегмент үчүн курулган протоколдор ташыган жана башка MTU жана өзгөрмө барып-келүү убактысы бар WAN үчүн курулбаган чоң көлөмдөгү трафик.

Багыттоо эмне берет

Биринчи артыкчылык — зыяндын радиусу. Цикл, керексиз DHCP сервери же берүү ташкыны аны жараткан сайтта калат, анткени маршрутизатор берүүлөрдү өткөрбөйт. Экинчиси — даректөөнүн айкындыгы: филиал префикси менен лаборатория префикси бөлөк, ошондуктан пакеттин дареги кайсы сайт жооп бериши керектигин айтат жана коопсуздук дубалынын эрежеси „бардык жерден бардык жерге“ ордуна „филиалдан лабораториянын кошумча тармагына“ деп айта алат.

Үчүнчүсү — бул туннель чындыгында ташыган нерсеге туура келет. IPsec саясаты — префикстер жубу, ал эми ар тараптагы өткөрүү жолу шлюзде өткөрүү күйгүзүлгөн жөнөкөй IP багыттоо:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Сиз баш тарткан нерсе — берүү аркылуу ачуу. Бул чыныгы жоготуу жана аны баарын көпүрөлөө менен айланып өтүүнүн ордуна атайын алмаштыруу керек.

Көпүрөлөөнүн баасы

Көпүрөлөө 2-катмар кадрларын туннелден өткөрүүсү керек, бул жөнөкөй саясатка негизделген туннелдин ордуна IPsec үстүнөн GRE же VXLAN сыяктуу инкапсуляцияны билдирет. Бул пайда болгондон кийин эки сайт бир бузулуу доменин бөлүшөт. Spanning tree туннелди байланыш катары көрөт, берүү трафиги туннелдин өткөрүү жөндөмдүүлүгүн сарптайт жана төмөн кечигүү сегментин болжолдогон ар кандай түзмөк эки учтан тең байланыштыруу кыйын болгон түрдө туура эмес иштейт.

Ал ошондой эле сизди ак ниетте кармап турган даректөө текшерүүсүн алып салат. Бир тегиз префикс менен кайталанган дарек багыттоо катасы эмес, бири-биринин трафигин үнсүз уурдаган эки хост жана филиал менен лабораториянын ортосундагы кабатталган префикстер үй лабораториясынын курулуштарында кеңири таралган, ошондуктан көпүрөлөө бул карама-каршылыкты чечпейт; аны таратат.

Адатта чечимди коопсуздук далили берет. Көпүрө link-local протоколдору иштеген сегментти кеңейтет, ошондуктан филиалдагы түзмөк сырттан жеткиликтүү болбошу керек болгон лаборатория түзмөктөрү менен сүйлөшө алат. Лабораторияда бир эле тегиз тармакта гипервизор, сактоо консолу жана башкаруу интерфейси болсо, бул эми филиал менен бирге бир сегмент.

Берүүсүз аттар

Адамдардын көпүрөлөө себеби адатта ачуу: тизмеде эч качан көрүнбөгөн принтер, медиа түзмөк же лаборатория хосту. Багытталган жооп — ат кызматы. Лаборатория хосттарын филиалдын чечүүчүсү жете ала турган зонада жарыялаңыз, андан кийин колдонуучуларга тармакты сканерлөөнүн ордуна ат боюнча туташууга уруксат бериңиз. Бул башында көбүрөөк иш жана ар бир келечектеги өзгөртүүдө алда канча аз иш.

Multicast ачуу — кыйыныраак учур жана тактыкка татыктуу. mDNS сыяктуу протоколдор link-local multicast колдонот, маршрутизаторлор аны демейки боюнча өткөрбөйт, ошондуктан ачуу тизмесинде жок лаборатория хосту документтелген дарегинде дагы эле жеткиликтүү болушу мүмкүн. Эгер белгилүү бир кызмат чын эле multicast талап кылса, бүт LANды жалпы оңдоо катары көпүрөлөөнүн ордуна ошол бир протоколду рефлектор же максаттуу өткөрүү эрежеси менен пландаңыз.

Рефлектор да бекер жеңиш эмес. Ал сиз качкыңыз келген ошол сүйлөөк трафикти бир-бир кызмат түрүндө киргизет жана түзмөк мурункудан көбүрөөк жарнамалай баштаганын байкай турган ээсине муктаж. Аны ар бир кызмат үчүн тандаңыз жана эмне үчүн экенин жазыңыз. Кайсы кызматка ал керек болгонун жана ал эмнени жарнамалай турганын жазып коюңуз, анткени прошивка жаңыртуу бул тизмени эч кимге айтпастан өзгөртүшү мүмкүн.

Багытталган долбоорду текшерүүгө боло турган кылыңыз

Бир максатты тандаңыз, мисалы лабораториянын өзүнүн сервер кошумча тармагындагы веб интерфейсин, жана аны эки багытта далилдеңиз. Филиалдагы хосттон даректи жана угуп жаткан кызматты жергиликтүү ырастаңыз, андан кийин туннел аркылуу туташып, кайталаңыз. Турган туннель шлюздер макулдашканын далилдейт; хосттун коопсуздук дубалы же кайтаруу жолу жөнүндө эч нерсе далилдебейт.

Лабораториянын кадимки шлюзуна филиал префиксине кайтаруу жолу керек, эгер долбоор булакты атайын которбосо, жана сервердин өзүнүн коопсуздук дубалы уруксат берилген алыскы диапазонду кабыл алышы керек. Экөөнү тең ийгиликтүү туннель конфигурациялабайт. strongSwan өткөрүү жазуулары ар тарапта иштеши керек болгон пакет жолун сүрөттөйт.

Андан кийин тыюу салынган даректи да сынап көрүңүз. Бир колдонмого муктаж филиал колдонуучусуна гипервизор консолу керек эмес жана саясаттын чыныгы экенин билүүнүн жалгыз жолу — ал баш тартышы керек болгон нерсени так сынап көрүү. Префикстерди, чечүүчүгө көз карандылыкты жана сыноо жыйынтыктарын жазып коюңуз, ал эми сайттардын бириндеги келечектеги өзгөртүүнү эстен кайра куруунун ордуна бир нече мүнөттө карап чыгууга болот.