Zwee LANen op NetBird: wéi eng Peeren routeieren a wien däerf schwätzen

Eng Aarbechtsplaz am westleche LAN mécht e Browser op, tippt d'Adress vun enger Applikatioun am östleche LAN an a waart bis d'Zäit ofleeft. All NetBird-Écran seet d'Peere sinn ugeschloss, wat richteg ass an net zur Saach gehéiert: an engem Overlay-Netzwierk ze sinn ass net datselwecht wéi déi zwee lokal Subnetzer an engem Netzwierk ze hunn. De Parcours hei drënner fänkt un där Aarbechtsplaz un a clôt mat enger Ufro, déi den Design bewosst refuséiert, an all Halt ass eppes wat een aus engem Apparat liest amplaz et ze roden. Erwaart datt dat fehlend Stéck eng Route oder eng Politik ass, net den Overlay.

Liest de Feeler als éischt vun der Aarbechtsplaz

Ier dir d'Verwaltungskonsol opmaachs, stellt fest wat d'Aarbechtsplaz tatsächlech schéckt. Seng eege Routingtabell entscheet ob de Pak zum Site-Paart, op eng lokal Interface oder néierens geet, an dës Entscheedung ass ouni en Overlay-Werkzeug ze gesinn. Eng Maschinn ouni Route fir de wäite Prefix wäert feelen, egal wéi gesond d'Peer-Lëscht ausgesäit. Den Overlay-Beräich an de Site säin eegenen Prefix sinn verschidden Adressraim, an d'Aschreiwung huet nëmmen ee vun deenen zwee konfiguréiert.

Da trennt d'Nimmopklärung vun der Erreechbarkeet, well de Browser béides als deeselwechte Zäitofleef mëttelt. Widderhëlt d'Ufro no Adress vun enger Maschinn mat NetBird-Client an duerno vun enger normale Aarbechtsplaz ouni. Wann déi ageschriwwe Maschinn et schafft an déi normal feelt, sëtzt d'Lück am lokale Routing; wann béid feelen, liest weider ier dir eng Route ännert.

Wielt ee Routing-Peer pro Site

E Routing-Peer ass en Host deen säi LAN am Overlay vertrëtt, wielt also eng Linux-Maschinn mat stabilem Erreechen vum Subnetz amplaz vun engem sengem Schreifdësch-Aarbechtsplaz. Schrieft se duerch de normale Prozess an a setzt se an eng Grupp déi nom Roll genannt ass, well de Netzwierk-Ressource an d'Politik allebéid op déi Grupp verweisen. Een Vertrieder pro Site bleift liesbar; eng Flott Fräiwëlleger déi deeselwechte Prefix annoncéieren mécht all spéider Fro zu enger Debug-Sessioun. D'Adress vum Peer am lokalen Segment zielt souvill wéi seng Identitéit am Overlay, well déi Adress de nächsten Hop gëtt deen all normale Apparat gesot kritt.

Schreift de Plang op ier dir d'Konsol beréiert, well Nimm a Prefixe sinn d'Plaz wou dës Designen ofdräifen: Prefix, Paart, Peer-Adress a Grupp, pro Site. Westen ass 10.52.0.0/24 gedéngt vun 10.52.0.5 an Osten ass 10.63.0.0/24 gedéngt vun 10.63.0.5; déi zwou Gruppe sinn west-routers an east-routers, an kee Prefix däerf deen aneren, den Overlay-Beräich oder eng aner geroutete Destinatioun iwwerläppen.

Erstellt de Ressource, loosst d'Maskéierung un

Am deployten Dashboard erstellt ee Netzwierk-Ressource pro Site a verbënnt dem Site seng Routing-Peer-Grupp domat. De Ressource ass de Prefix an d'Grupp ass den Host deen drop äntwert, an allebéid mussen existéieren ier eppes annoncéiert gëtt. Bestätegt datt déi deployt selbstgehostet Versioun iwwerhaapt de Netzwierker-Workflow huet, well eng eeler Interface mat engem ähnlech genannte Route-Objet eng aner Funktioun ass.

Loosst d'Maskéierung aktiv. Dem NetBird säi Site-zu-Site-Guide verlaangt se an dëser Opstellung, an se ausschalte fir all Originaladress sichtbar ze halen ass net deeselwechten Design mat engem Hop manner; et ännert wat d'Quellprüfungen an d'Politike vum Overlay gesinn. D'Konsequenz ass et wäert direkt ze soen: dee receiveierende Service registréiert de Routing-Peer als Quell, net déi eenzel Aarbechtsplaz. Wann dem Service seng Erlaabnislëscht oder Audit Aarbechtsplaz-Adressen erwaart, ännert sech entweder d'Erwaardung oder d'Identitéit muss op der Site-Grenz virun der Iwwersetzung duerchgesat ginn.

Autoriséiert d'Initiatoren, net d'Prefixen

Eng Route mécht eng Adress erreechbar an eng Politik entscheet wien se däerf benotzen; dat sinn zwee getrennt Objeten mat getrennten Eegentümer. Schreift d'Politik vun der Aarbechtslaascht aus zréck: wéi eng Grupp initiéiert, wéi eng Ressource se zielt a wéi en TCP-Service se brauch. En Netzwierk dat béid Prefixen all ageschriwwene Peer annoncéiert huet Erreechbarkeet geschaaf an näischt entscheet.

Liest duerno wat soss schonn erlaabt ass, well eng schmuel nei Regel keng breet al ophieft déi driwwer steet. Wann den Osten och Verbindungen no Westen ufänke muss, schreift déi Richtung als seng eege Politik; de Récktrafic fir eng Sessioun déi de Westen opgemaach huet ass eng aner Fro wéi nei Sessiounen no Osten z'erlaben. Wann nëmmen e puer westlech Aarbechtsplazen d'ëstlech Applikatioun erreeche sollen, wielt se op der Site-Grenz virun der Iwwersetzung aus a haalt d'Applikatioun hir eege Authentifizéierung. De Routing-Peer dréit LAN-Trafic als de ganzen Site an net als Overlay-Identitéit pro Benotzer, dofir muss d'Comptabilitéit pro Benotzer vun aneschters kommen.

Léiert all Paart de nächsten Hop, da testt eng Oflehnung

Déi normal Apparater gesinn den Overlay ni, dofir brauch hir eege Paart eng statesch Route déi de wäite Prefix op d'LAN-Adress vum Routing-Peer weist. Dëst ass de Schrëtt deen d'Leit iwwersprangen, well alles wat am NetBird sichtbar ass schonn funktionéiert während normal Aarbechtsplazen nach auslafen. D'Paart behält seng Standardroute wéi se war; dëse Prefix ass eng Ergänzung, keng Ersetzung.

Déi zwou Routebeschreiwungen gehéieren an de Paart-Konfiguratioun vun all Site, net an eng Iwwerschreiwung um Host. Béid si gewéinlech statesch Routen, an keng beréiert d'Standardroute:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Testt mat der Applikatioun déi de Projet wierklech brauch, vun enger normaler Aarbechtsplaz, a schreift dräi Saachen op: den nächsten Hop dee bäi der Sendesäit gewielt gouf, d'Politik déi gepasst huet an d'Quelladress déi de Service geloggt huet. Testt och eng Oflehnung, well en Design deen ni eppes refuséiert huet onbekannt Ränner huet, an d'Oflehnung ass deen eenzegt Beweis datt d'Politik an net d'Routing d'Aarbecht mécht. Wann den Osten och muss initiéieren, fänkt eng nei Verbindung vun där Säit un amplaz unzehuelen datt déi zweet Richtung follegt. Plangt och de Restart, den Upgrade an den Ersatz vum Routing-Peer, well een Host eng Site-Ofhängegkeet ginn ass.

Privat Nimm brauchen hire eigenen Resolver-Design, well Erreechbarkeet keng DNS-Recorden erstallt an e funktionéierende IP-Wee mat engem gebrochenen Numm genee wéi e gebrochene Wee gelies gëtt. Wann e Routing-Peer an engem Cloud-Netzwierk leeft, kuckt och dem Ubieder seng Weiderleeungs- a Firewall-Reegelen un, well d'Aschreiwung se net iwwerschreift. Haalt d'Observatioune vum Test nieft dem Plang, well déi nächst Persoun déi dëst debuggt wäert déi passend Politik an déi geloggte Quelladress wëllen, net eng Beschreiwung vun der Topologie.