VPN-Site-Erweiterung: fuert der Réckwee hannert dem Gateway

Den Trafic vun enger Filial endet op engem Gateway, deem säi LAN d’Applikatioun net enthält, déi Dir sollte erreechen. De Server steet an engem zweeten Rechenzentrum, hannert enger interner Verbindung, déi de VPN ni konfiguréiert huet. En anere Prefix um noen Gateway bäizesetzen mécht näischt fir dee Fall, well de wäite Gateway en Ennpunkt vun der Verschlësselung ass an net de leschte Router. De Wee brauch eng Route no vir, eng Zoulassung op der wäiter Sécherheetsgrenz an eng Réckentscheedung am eegene Netz vum Zil.

De wäite Gateway ass en Ennpunkt vun der Verschlësselung

IPsec tëschend Gateways schützt den Trafic tëschend zwou Sécherheetsapparater, an déi intern Adressen zéien verschlësselt iwwer dee Segment. Hannert dem wäite Gateway iwwerhëlt d’gewéinlech Routing, och all Politik déi tëschend Rechenzentren existéiert. Dee geschützten Deel deckt also en Deel vun der Rees an net de Rescht. Dat Géigendeel unzehuelen ass de Wee wéi en Design mat engem gesonden Tunnel an enger onereechbarer Applikatioun ophalen.

Zeechent de Wee an dräi Deeler: Filial zum noen Gateway, no zum wäite Gateway, wäite Gateway zur Applikatioun. All Deel huet säin eegenen Eegentemer a säin eegene Fehlermodus.

Liest déi zwou Richtungen vun der Tunnelpolitik

Eng Tunnelpolitik gëtt normalerweis aus der Perspektiv vun der lokaler Säit geschriwwen, an aus dëser Gewunnecht kommen deelweis Konfiguratiounen. Béid Peeren mussen d’Quell vun der Filial an d’Zil esou oplëschten wéi se am Tunnel erschéngen, och all Iwwersetzung déi den Design virgesäit. Nëmmen de noen Enn ze aktualiséieren ergëtt eng Phas-zwee-Onstëmmegkeet, déi wéi en Routingfehler ausgesäit. Vergläicht déi zwou Politik-Sets éier Dir eng Route beréiert.

Schreift Quell an Zil als Adressen an net als Site-Nimm. D’Onkloerheet hei daucht méi spéit als verwirrend Asymmetrie erëm op.

Setzt d’Route no vir bäi a bestätegt d’Zoulassung

De wäite Gateway brauch eng Route Richtung Applikatiouns-Subnetz, an all Router tëschend hinnen muss d’Quell vun der Filial zouloussen. Verifizéiert wat de wäite Gateway tatsächlech huet, an net wat den Diagramm behaapt.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Den éischte Befehl mellt d’Ausgangsinterface an den nächsten Hop, déi de wäite Gateway fir déi Quell wielen géif, eng Fro déi eng gewéinlech Routingtabell net beäntwere kann. Den Trace weist wou d’Paketen ophalen, an en Ofbroch hannert dem wäite Gateway weist op internen Transit an net op den Tunnel. Wann d’Route existéiert an den Trafic awer verschwënnt, da maacht eng Opnam um wäite Gateway a liest d’Quelladress déi ukommt, well eng onerwaart Adress heescht datt d’Iwwersetzung irgendwou onplangeméiss geschitt. All Adressen hei sinn Plazhalter, also ersetzt déi richteg Filial-, Transit- an Applikatiouns-Subnetzer.

Test vun der Filial aus, an test duerno den ale Wee nach eng Kéier

D’Akzeptanz brauch eng richteg Quell an net eng Sonde vum wäite Gateway. Féiert d’Kontroll vun engem Host an der Filial aus a behält déi virdru funktionéierend Ziler am selwechten Test.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Eng Äntwert vun der Applikatioun beweist Wee no vir a Réckwee zesummen, wärend de ping op dat aalt Zil beweist datt d’Ännerung net gebrach huet wat schonn funktionéiert huet. Hält d’Quelladress fest déi d’Applikatioun loggt, well hir Zougangsregelen an all Réckroute mat deem Wäert mussen iwwereneenkommen. Wou d’Filial virum Tunnel iwwersetzt, ënnerscheede sech d’Politikadress an d’Adress déi d’Applikatioun gesäit nom Design, also notéiert béid. Widderhielt den Test no enger Schlësselerneierung oder enger Routingännerung, well dës Weeër gär eng Kéier validéiert an duerno vergiess ginn.

Gitt engem vun den dräi Segmenter an der Réckroute bannent dem Zilnetz en Eegentemer. E Wee mat véier Eegentemer versot an de Lächer tëschend hinnen.