Du LAN tinkle NetBird: kurie partneriai maršrutizuoja ir kam leidžiama kalbėti

Darbo stotis vakarinėje LAN atidaro naršyklę, įveda programos adresą rytinėje LAN ir laukia, kol baigsis laikas. Kiekvienas NetBird ekranas sako, kad partneriai prisijungę, kas tiesa ir ne prie ko: būti viename perdangos tinkle nėra tas pats, kas turėti du vietinius potinklius viename tinkle. Žemiau pateiktas kelias prasideda toje darbo stotyje ir baigiasi užklausa, kurios projektas sąmoningai atsisako, ir kiekviena stotelė yra tai, ką perskaitai iš įrenginio, o ne spėji. Tikėkitės, kad trūkstama dalis yra maršrutas arba politika, o ne perdanga.

Pirmiausia perskaitykite gedimą iš darbo stoties

Prieš atidarydami valdymo konsolę, nustatykite, ką darbo stotis iš tikrųjų siunčia. Jos pačios maršrutų lentelė nusprendžia, ar paketas eis į svetainės šliuzą, į vietinę sąsają, ar niekur, ir šis sprendimas matomas be jokių perdangos įrankių. Mašina be maršruto tolimam prefiksui žlugs, kad ir kaip sveikai atrodytų partnerių sąrašas. Perdangos diapazonas ir pačios svetainės prefiksas yra skirtingos adresų erdvės, o registracija sukonfigūravo tik vieną jų.

Toliau atskirkite vardų sprendimą nuo pasiekiamumo, nes naršyklė abu praneša kaip tą patį laiko limitą. Pakartokite užklausą adresu iš mašinos, kurioje veikia NetBird klientas, paskui iš paprastos darbo stoties, kur jis neveikia. Jei registruota mašina pavyksta, o paprasta nepavyksta, spraga yra vietiniame maršrutizavime; jei nepavyksta abi, skaitykite toliau, kol keisite maršrutą.

Pasirinkite vieną maršrutizavimo partnerį kiekvienai vietai

Maršrutizavimo partneris yra mazgas, atstovaujantis savo LAN perdangoje, todėl rinkitės Linux mašiną su stabiliu pasiekiamumu potinkliui, o ne kieno nors stalinį kompiuterį. Užregistruokite ją įprastu procesu ir įdėkite į grupę, pavadintą pagal vaidmenį, nes tinklo išteklius ir politika abu nurodys tą grupę. Vienas atstovas vienai vietai lieka suprantamas; savanorių būrys, skelbiantis tą patį prefiksą, kiekvieną vėlesnį klausimą paverčia derinimo sesija. Partnerio adresas vietiniame segmente svarbus tiek pat, kiek jo tapatybė perdangoje, nes šis adresas tampa kitu šuoliu, kuris nurodomas kiekvienam paprastam įrenginiui.

Užrašykite planą prieš liesdami konsolę, nes pavadinimai ir prefiksai yra vieta, kur šie projektai nukrypsta: prefiksas, šliuzas, partnerio adresas ir grupė, kiekvienai vietai. Vakarai yra 10.52.0.0/24, aptarnaujamas 10.52.0.5, o rytai yra 10.63.0.0/24, aptarnaujamas 10.63.0.5; dvi grupės yra west-routers ir east-routers, ir nė vienas prefiksas negali persidengti su kitu, su perdangos diapazonu ar su kita maršrutizuota paskirtimi.

Sukurkite išteklių, palikite maskavimą įjungtą

Įdiegtoje valdymo panelėje sukurkite vieną tinklo išteklių kiekvienai vietai ir prijunkite prie jo tos vietos maršrutizavimo partnerių grupę. Išteklius yra prefiksas, o grupė yra mazgas, atsakantis už jį, ir abu turi egzistuoti prieš ką nors skelbiant. Patvirtinkite, kad įdiegta savarankiškai talpinama versija apskritai turi Tinklų darbo eigą, nes senesnė sąsaja su panašiai pavadintu maršruto objektu yra kita funkcija.

Palikite maskavimą įjungtą. NetBird svetainių ryšio vadovas reikalauja jo šioje sąrangoje, o jo išjungimas, kad kiekvienas originalus adresas liktų matomas, nėra tas pats projektas su vienu šuoliu mažiau; jis keičia, ką mato perdangos šaltinio patikros ir politikos. Pasekmę verta pasakyti tiesiai: priimanti tarnyba kaip šaltinį registruoja maršrutizavimo partnerį, o ne atskirą darbo stotį. Jei tos tarnybos leidimų sąrašas ar auditas tikisi darbo stočių adresų, arba pasikeičia lūkestis, arba tapatybė turi būti užtikrinta svetainės riboje prieš vertimą.

Įgalinkite iniciatorius, o ne prefiksus

Maršrutas padaro adresą pasiekiamą, o politika nusprendžia, kam leidžiama juo naudotis; tai du atskiri objektai su atskirais savininkais. Rašykite politiką nuo darbo krūvio atgal: kuri grupė inicijuoja, į kurį išteklių taiko ir kurios TCP paslaugos jai reikia. Tinklas, skelbiantis abu prefiksus kiekvienam registruotam partneriui, sukūrė pasiekiamumą ir nieko neišsprendė.

Tada perskaitykite, kas dar jau leidžiama, nes siaura nauja taisyklė nepanaikina plačios senos, stovinčios virš jos. Kai rytai taip pat turi pradėti jungtis į vakarus, užrašykite tą kryptį kaip atskirą politiką; grįžtamasis srautas sesijai, kurią atidarė vakarai, yra kitas klausimas nei leisti naujas sesijas į rytus. Jei tik kai kurios vakarinės darbo stotys turi pasiekti rytinę programą, pasirinkite jas svetainės riboje prieš vertimą ir palikite pačios programos autentifikaciją. Maršrutizavimo partneris perduoda LAN srautą kaip visą svetainę, o ne kaip kiekvieno naudotojo perdangos tapatybę, todėl apskaita pagal naudotoją turi ateiti iš kitur.

Išmokykite kiekvieną šliuzą kito šuolio, tada išbandykite atsisakymą

Paprasti įrenginiai niekada nemato perdangos, todėl jų pačių šliuzui reikia statinio maršruto, nukreipiančio tolimą prefiksą į maršrutizavimo partnerio LAN adresą. Tai žingsnis, kurį žmonės praleidžia, nes viskas, kas matoma NetBird viduje, jau veikia, o paprastos darbo stotys vis dar baigia laiką. Šliuzas išlaiko numatytąjį maršrutą tokį, koks buvo; šis prefiksas yra papildymas, o ne pakaitalas.

Du maršrutų aprašai priklauso kiekvienos vietos šliuzo konfigūracijai, o ne mazgo perrašymui. Abu yra paprasti statiniai maršrutai, ir nė vienas neliečia numatytojo maršruto:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Išbandykite su programa, kurios projektui tikrai reikia, iš paprastos darbo stoties, ir užrašykite tris dalykus: kitą šuolį, pasirinktą siuntėjo pusėje, politiką, kuri atitiko, ir šaltinio adresą, kurį užregistravo tarnyba. Išbandykite ir atsisakymą, nes projektas, kuris niekada nieko neatsisakė, turi nežinomus kraštus, ir atsisakymas yra vienintelis įrodymas, kad darbą atlieka politika, o ne maršrutizavimas. Kai rytai taip pat turi inicijuoti, pradėkite naują ryšį iš tos pusės, o ne manykite, kad antroji kryptis seks. Suplanuokite ir maršrutizavimo partnerio perkrovimą, atnaujinimą bei pakeitimą, nes vienas mazgas tapo svetainės priklausomybe.

Privatūs vardai turi savo resolverio projektą, nes pasiekiamumas nesukuria DNS įrašų, o veikiantis IP kelias su sugadintu vardu skaitomas lygiai kaip sugadintas kelias. Jei maršrutizavimo partneris veikia debesijos tinkle, peržiūrėkite ir teikėjo persiuntimo bei ugniasienės taisykles, nes registracija jų nepanaikina. Laikykite bandymo stebėjimus šalia plano, nes kitas žmogus, kuris tai derins, norės atitikusios politikos ir užregistruoto šaltinio adreso, o ne topologijos aprašymo.