VPN сайтын кеңейтүү: шлюзден ары кайтуу маршрутун ээрчиңиз

Филиалдан келген трафик сизге жетүү талап кылынган колдонмону LAN’да камтыбаган шлюзда бүтөт. Сервер экинчи маалымат борборунда, VPN эч качан конфигурациялабаган ички байланыштын наркы тарабында жайгашкан. Жакын шлюзга дагы бир префикс кошуу бул учур үчүн эч нерсе кылбайт, анткени алыс шлюз — акыркы маршрутизатор эмес, шифрлөөнүн акыркы чекити. Жолго алдыга маршрут, алыс коопсуздук чек арасында уруксат жана дайындоо тармагынын өзүндө кайтуу чечими керек.

Алыс шлюз — шифрлөөнүн акыркы чекити

Шлюз-шлюз IPsec эки коопсуздук түзмөгүнүн ортосундагы трафикти коргойт, ал эми ички даректер ошол сегменттен шифрленген түрдө өтөт. Алыс шлюзден ары кадимки маршруттоо иштейт, анын ичинде маалымат борборлорунун ортосунда бардык саясат. Ошондуктан корголгон сегмент сапардын бир бөлүгүн камтыйт, калганын эмес. Тескерисинче деп ойлоо — долбоордун соо туннель жана жеткиликсиз колдонмо менен бүтүү жолу.

Жолду үч бөлүккө бөлүп тартыңыз: филиалдан жакын шлюзга, жакындан алыс шлюзга, алыс шлюзден колдонмого. Ар бир бөлүктүн өз ээси жана өз иштен чыгуу ыкмасы бар.

Туннель саясатынын эки багытын тең окуңуз

Туннель саясаты адатта жергиликтүү тараптын көз карашынан жазылат жана жарым-жартылай конфигурациялар ушул адаттан келип чыгат. Эки тарап тең филиалдын булагын жана дайындоону туннелдин ичинде көрүнө тургандай тизмелеши керек, долбоор көздөгөн ар кандай котормону кошкондо. Жакын учун гана жаңыртуу экинчи фазанын дал келбестигин жаратат, ал маршруттоо бузулушуна окшош көрүнөт. Кайсыл маршрутка тийишпей туруп эки саясат топтомун салыштырыңыз.

Булак менен дайындоону сайт аттары катары эмес, дарек катары жазыңыз. Бул жердеги эки жактуулук кийин түшүнүксүз асимметрия катары кайтат.

Алдыга маршрутту кошуп, уруксатты ырастаңыз

Алыс шлюзга колдонмонун ички тармагына карай маршрут керек, ал эми алардын ортосундагы ар бир маршрутизатор филиалдын булагын уруксат кылышы керек. Диаграмма айтканды эмес, алыс шлюздун чындыгында эмнеси бар экенин текшериңиз.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Биринчи буйрук алыс шлюздун ошол булак үчүн тандай турган чыгуу интерфейсин жана кийинки секиригин билдирет, бул кадимки маршруттоо таблицасы жооп бере албаган суроо. Из пакеттердин кайда токтогонун көрсөтөт, ал эми алыс шлюзден кийинки үзгүлтүк туннелди эмес, ички транзитти көрсөтөт. Маршрут бар болсо да трафик жоголуп жатса, алыс шлюзда жазып алып, келе жаткан булак дарегин окуңуз, анткени күтүлбөгөн дарек котормонун пландалбаган жерде жүрүп жатканын билдирет. Бул жердеги бардык даректер толтургучтар, ошондуктан чыныгы филиал, транзит жана колдонмо ички тармактарын коюңуз.

Филиалдан сынап көрүңүз, анан эски жолду кайра сынаңыз

Кабыл алуу үчүн алыс шлюзден текшерүү эмес, чыныгы булак керек. Текшерүүнү филиал хосттон аткарып, мурун иштеген дайындоолорду ошол эле сынакта сактаңыз.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Колдонмонун жообу алдыга багытталган жолду жана кайтуу жолун чогуу далилдейт, ал эми эски дайындоого ping өзгөртүү мурун иштегенди бузбаганын далилдейт. Колдонмо жаза турган булак дарегин алыңыз, анткени анын кирүү эрежелери жана ар кандай кайтуу маршруту ошол мааниге дал келиши керек. Филиал туннелге чейин которсо, саясаттын дареги менен колдонмо көргөн дарек долбоор боюнча айырмаланат, ошондуктан экөөнү тең жазып алыңыз. Ачкычты жаңырткандан же маршруттоо өзгөргөндөн кийин сынакты кайталаңыз, анткени бул жолдор адатта бир жолу текшерилип, анан унутулат.

Үч сегменттин ар бирине жана дайындоо тармагынын ичиндеги кайтуу маршрутуна ээ дайындаңыз. Төрт ээси бар жол алардын ортосундагы боштуктарда иштен чыгат.