Geroutete VPN oder gebrückte LAN fir eng Verbindung tëscht Filial a Labor

Et gëtt zwou Méiglechkeeten, eng Filial en Heemlabor erreechen ze loossen, an den Ënnerscheed ass keng Astellung. Dir kënnt tëscht verschiddenen Präfixen route, sou datt all Site säin eegene Broadcast-Domän behält, oder Dir kënnt déi zwou LANen zu enger brécken, sou datt Broadcasten an Discovery-Trafic sech behuelen, wéi wann allebénks an der selwechter Stuff wieren. Routing ass de Projet, deen de Kontakt mat engem richtege Netz iwwersteet. Bridging ass de Projet, deen déi éischt Woch einfach an den éischte Stroum interessant mécht. De Verglach hei drënner geet drëm, wat all eenzege gëtt a wat en kascht, duerno wéi een déi gerout Variant testbar mécht.

Zwou Art ze verbannen, ee kloere Kompromiss

Eng gerout Verbindung behandelt den Heemlabor als en entfernt Netz mat senger eegener Adresséierung. D'Filial freet de Labor-Präfix, den Tunnel dréit déi Paketen, an de Labor-Gateway äntwert aus sengem eegene Subnet. Näischt un der ARP-Tabell vun der Filial ännert sech, a näischt aus dem DHCP-Beräich vum Labor erreecht d'Filial.

Eng gebrückte Verbindung erstreckt sech iwwer eng eenzeg Layer 2-Domän op alle béide Siten. Discovery-Protokoller funktionéieren, Apparater erschéngen automatesch, an all Broadcast, all ARP-Ufro an all Multicast-Pak ass elo e Kandidat fir den Tunnel ze kräizen, also eng grouss Quantitéit Trafic, gedroe vu Protokoller, déi fir e lokalt Segment gebaut sinn an net fir e WAN mat enger anerer MTU an enger variabeler Ëmlafzäit.

Wat Routing Iech gëtt

Den éischte Benefice ass de Radius vum Schued. Eng Loop, en ongewollten DHCP-Server oder eng Broadcast-Flut bleift op där Site, déi se produzéiert huet, well en Router keng Broadcasten weidergëtt. Den zweeten ass d'Kloerheet vun der Adresséierung: de Präfix vun der Filial an dee vum Labor sinn ënnerschiddlech, sou datt d'Destinatioun vun engem Pak Iech seet, wéi eng Site äntwere soll, an eng Firewall-Reeg kann „Filial op Labor-Subnet“ soen amplaz „iergendwou op iergendwou“.

Den drëtten ass, datt et zum Deel passt, wat den Tunnel tatsächlech transportéiert. Eng IPsec-Politik ass e Pair Präfixen, an de Weidergab-Wee op all Säit ass gewéinlech IP-Routing mat aktivéierter Weidergab um Gateway:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Wat Dir opgitt, ass Discovery duerch Broadcast. Dat ass e richtege Verloscht, an et soll bewosst ersat ginn amplaz ëmgaangen ze ginn, andeems een alles bréckt.

Wat Bridging kascht

Bridging muss Layer 2-Framen iwwer een Tunnel droen, wat eng Kapselung wéi GRE oder VXLAN iwwer IPsec bedeit amplaz vun engem einfachen politikbaséierten Tunnel. Soubal dat existéiert, deelen déi zwou Siten eng Fehlerdomän. Spanning tree gesäit den Tunnel als eng Verbindung, Broadcast-Trafic verbraucht Tunnel-Bandbreet, an all Apparat, deen e Segment mat niddereger Latenz unhëlt, behuel sech falsch op eng Manéier, déi vu béiden Enner schwéier zouzeschreiwen ass.

Et entfernt och d'Adresskontroll, déi Iech éierlech hält. Mat engem flaache Präfix ass eng duebel Adress kee Routing-Fehler, mä zwou Hosts, déi sech stëll de Trafic klauen, an iwwerlappend Präfixen tëscht enger Filial an engem Labor si gängeg an Heemlabor-Aufbauen, also léist Bridging dee Konflikt net; et verdeelt en.

D'Sécherheetsargument ass dat, wat et meeschtens decidéiert. Eng Bréck erstreckt de Segment, op deem Link-Local-Protokoller schaffen, also kann en Apparat an der Filial mat Labor-Apparaten schwätzen, déi ni sollten vun dobaussen erreechbar sinn. Huet de Labor en Hypervisor, eng Storage-Konsol an eng Management-Schnittstell am selwechte flaache Netz, ass dat elo een Segment mat der Filial.

Nimm ouni Broadcast

De Grond, firwat d'Leit brécken, ass meeschtens Discovery: en Drécker, en Audiogerät oder en Laborhost, deen ni an enger Lëscht erschéngt. D'gerout Äntwert ass en Nummenservice. Publizéiert d'Laborhosts an enger Zon, déi den Resolver vun der Filial erreeche kann, a loosst d'Benotzer dann iwwer den Numm verbannen amplaz d'Netz ze scannen. Dat ass am Ufank méi Aarbecht a bei all zukünfteger Ännerung däitlech manner.

Multicast-Discovery ass dee schwéiere Fall, an en verdéngt Präzisioun. Protokoller wéi mDNS benotze Link-Local-Multicast, deen d'Routere standardméisseg net weiderginn, also kann en Laborhost, deen an enger Discovery-Lëscht fehlt, nach ëmmer op senger dokumentéierter Adress erreechbar sinn. Wann ee bestëmmten Service wierklech Multicast brauch, plangt dee een Protokoll, mat engem Reflektor oder enger gezielter Weidergab-Reeg, amplaz d'ganz LAN als allgemeng Reparatur ze brécken.

E Reflektor ass och kee gratis Gewënn. En importéiert dee selwechte geschwätzege Trafic, deen Dir wollt vermeiden, een Service no deem aneren, an en brauch en Eegentemer, dee mierkt, wann en Apparat ufänkt méi ze annoncéieren wéi virdrun. Wielt en pro Service, a schreift op firwat. Notéiert, wéi en Service en gebraucht huet a wat en annoncéiert, well en Firmware-Update déi Lëscht ännere kann, ouni et engem ze soen.

Maacht de geroute Projet testbar

Wielt een Zil, zum Beispill eng Web-Schnittstell vum Labor op engem eegene Server-Subnet, a beweist et a béide Richtungen. Bestätegt op engem Host an der Filial d'Adress an den lauschende Service lokal, verbënnt Iech dann duerch den Tunnel a widderhëlt et. En Tunnel, deen uewen ass, beweist, datt d'Gateways d'Accord sinn; iwwert d'Host-Firewall oder de Retourwee beweist en näischt.

Den normale Gateway vum Labor brauch eng Route zréck op de Präfix vun der Filial, ausser de Projet iwwersetzt d'Quell bewosst, an d'Firewall vum Server selwer muss dee erlaabte remote Beräich akzeptéieren. Keng vun deenen zwee gëtt vun engem erfollegräichen Tunnel konfiguréiert. D'Weidergab-Notizen vum strongSwan beschreiwen de Pak-Wee, deen op all Säit muss funktionéieren.

Test duerno och eng verbueden Destinatioun. E Benotzer vun der Filial, deen eng Applikatioun brauch, brauch net d'Hypervisor-Konsol, an déi eenzeg Manéier ze wëssen, datt d'Politik echt ass, ass dat ze probéieren, wat se sollt refuséieren. Notéiert d'Präfixen, d'Resolvers-Abhängegkeet an d'Testresultater, an eng zukünfteg Ännerung op enger vun de Siten kann a Minutten iwwerkuckt ginn amplaz aus dem Gediechtnes nei gebaut ze ginn.