Zentrum a Speiche géint Vollvermaschung: wéi eng VPN-Topologie fir Är Standplazen passt

Zwou Filialen schwätzen de ganzen Dag mateneen, an den Tunnel tëschent hinne geet ëm engem Datecenter an enger anerer Regioun. All Ufro bezuelt deen Ëmwee zweemol, an et mierkt keen, bis d'Dateisynchronisatioun sech falsch ufillt. Do fänkt d'Fro vun der Topologie wierklech un: net domat, wéi en Diagramm méi robust ausgesäit, mä domat, wéi engem Trafficmuster Dir bezuelt. Béid Designen funktionéieren, a si versoen op verschidden Aart a mat verschiddene Käschten.

Zielt d'Peer-Bezéiungen, ier Dir eppes anescht maacht

Mat N Standplazen brauch eng Vollvermaschung N mol N minus eent, gedeelt duerch zwee, Tunnelen; en Zentrum brauch N. Bei fënnef Standplazen sinn dat zéng géint fënnef, wat nach machbar kléngt. Bei fofzéng sinn et 105 géint fofzéng, an den Ënnerscheed ass keng Arithmetik méi, mä Personal.

All déi Bezéiungen droen Zoustand, deen Dir musst besëtzen. Bei IPsec heescht dat eng Sécherheetsassociatioun, eng Identitéit, e Schlëssel oder Zertifikat, Dout-Peer-Erkennung an op d'mannst eng Route pro remote Prefix. Bei WireGuard heescht et e ëffentleche Schlëssel an e AllowedIPs-Block pro Peer; pro Peer méi bëlleg, awer ganz ouni Entdeckung: eng nei Standplaz bedeit an all Fall eng Konfiguratiounsännerung op all bestoender.

Loosst de Traffic decidéieren, net d'Zeechnung

Wann de Filialstraffic haapsächlech Ufroe fir en zentrale ERP oder Dateicluster ass, ass en Zentrum kee Kompromiss, mä déi richteg Form: den Traffic wollt schonn dohinner, an ee Policyspunkt ass méi einfach ze auditréieren wéi eng Vermaschung vu Pair-fir-Pair-Reegelen. Eng Vermaschung verdéngt hir Komplexitéit, wann d'Filialen Daten mateneen austauschen: Replikatioun tëschent zwou Büroen, Stëmm tëschent de Standplazen, eng CAD-Fräigab, déi eng Dutzend Ingenieuren de ganzen Dag opmaachen.

Déi onbequem Fäll leien dertëschent, an et sinn der déi meescht. Miess, ier Dir diskutéiert, amplaz vun engem Organigramm ze roden.

Liest d'Tabell als Entschäidungshelfer, net als Regel. Dräi vun véier Zeilen an eng Richtung entscheeden normalerweis den Design, an eng Spléckung bedeit Hybrid, wat déi meescht ausgereifte Netzwierker schlussendlech bedreiwen.

Engem Zentrum muss een sage, datt et forwarde soll

Zwou funktionéierend Speiche-zu-Zentrum-Tunnelen schafen nach kenen Zougang tëschent de Speichen. Den Zentrum brauch aktivéiert IP-Forwarding, eng Route fir all Speichennetz, eng Firewallreegel, déi den Transit erlaabt, an de Retourwee ausgerechent; all Speich brauch eng Route fir d'Prefixen vun der anerer Standplaz. Op engem Linux-Zentrum ass dat net.ipv4.ip_forward=1 plus eng FORWARD-Kette, déi d'Paar net stëll fale léisst, a bei policy-baséiertem IPsec sinn et Traffic-Selectoren, déi de remote Speichen-Subnetz op béiden Enner oplëschten. Vum strongSwan seng Notizen zum Forwarding decken d'Kär- a Firewallsäit of, wann dat d'Schicht ass, déi Dir verpasst. En bëllegen Test ass, Traffic vun enger Speich op e Service op der anerer ze schécken an d'Zähler vum Zentrum ze kucken; eng Reegel, déi ni eropgeet, heescht, datt d'Reiefolleg falsch ass, net d'Route.

Zentral Politik ass och den nëtzlechen Deel. Filialen kënnen op gemeinsam Servicer zougräifen, ouni sech géigesäiteg ze gesinn, an déi Zougangsmatrix ass et wäert, se explizit opzeschreiwen. Fehlend Routen sinn en schlechten Ersatz fir eng Reegel, déi een liese kann.

Passt op déi hallef fäerdeg Versioun op: Speich A route't iwwer den Zentrum op Speich B, den Zentrum route't an béid Richtungen, an d'Firewall vum Zentrum erlaabt nei Verbindunge vun A, awer net vun B. Déi éischt Richtung testt sech gutt, déi zweet hänkt, wat wéi e Routingfehler ausgesäit an keen ass.

Design d'Feelfall, dann de normale Wee

En eenzege Zentrum ass eng gemeinsam Ofhängegkeet an e Transitfläschhals, an d'Redundanz ass de Punkt, wou Zentrumsdesignen normalerweis falsch ginn. Zwee Zentren heeschen, datt all Speich zwee Tunnelen hält, an de Retourwee muss mam erausgehende Way iwwerenee stëmmen; wann net, verwërfte stateful Firewallen d'Äntwerten, an d'Symptom ass eng Verbindung, déi sech opmaacht an dann stierft. Gréisser Deployementer léisen dat mat engem Routingprotokoll iwwer d'Tunnelen amplaz statesche Prefixen, wat méi Maschinn ass, awer de Rotschloss ewechhëlt. Wat Dir och wielt, schreift de Retourwee nieft den erausgehenden, well déi Retourhalschent ass déi, déi kee testt.

Eng Vermaschung verdeelt dee Risiko: de Link vun enger Standplaz, deen erofgeet, isoléiert déi aner net. Si multiplizéiert awer och d'Plazen, wou d'Path-Auswiel Iech iwwerraschen kann, an Applikatiounssessiounen iwwerliewen eng Pathännerung nach ëmmer net ouni Hëllef.

Keen Design hält eng TCP-Sessioun iwwer e Failover vun sech aus liewent. Wann d'Applikatioun sech net nei verbannen kann, ass Topologie net Är Problem.

Wielt no de Käschte vun der Ännerung, dann iwwerpréift d'Routen

Fänkt mam Zentrum un, well et déi méi bëlleg Saach ass, falsch ze leien, a füügt direkt Tunnelen fir déi Puer bäi, där hire Traffic se verdéngt. Dee Hybrid ass kee Versoe beim Entscheeden; et ass den Design, op deen déi meescht Organisatiounen an engem Joer kommen. Wat zielt, ass datt all direkt Verbindung ee genannten Grond an een Eegentümer huet.

Dann iwwerpréift déi zwou Zeechnungen amplaz just eng. Fir de normale Wee, traceroute vun all Standplaz op all Service-Prefix ausféieren an bestätegen, datt d'Hops mat dem Diagramm passen. Fir de Feelfall, maacht een Tunnel zou an widderhëlt et, well eng Route, déi just funktionéiert, wann alles leeft, ass net designt, mä nëmme konfiguréiert.

Hält béid Zeechnungen mat der Zougangsmatrix, a kuckt se nees un, wann eng Standplaz bäikënnt; d'Käschten, déi Dir verwalte musst, sinn d'Käschte vun der nächster Ännerung, net d'Eleganz vum aktuellen Bild.