Maršrutizuotas VPN arba tiltu sujungtas LAN ryšiui tarp filialo ir laboratorijos

Yra du būdai, kaip filialas pasiekia namų laboratoriją, ir skirtumas nėra nustatymas. Galite maršrutizuoti tarp atskirų prefiksų, kad kiekviena vieta išlaikytų savo transliacijos domeną, arba galite sujungti abu LAN tiltu į vieną, kad transliacijos ir atradimo srautas elgtųsi taip, lyg visi būtų toje pačioje patalpoje. Maršrutizavimas yra projektas, kuris išgyvena susidūrimą su tikru tinklu. Tiltas yra projektas, kuris padaro pirmą savaitę lengvą, o pirmą gedimą įdomų. Toliau pateiktas palyginimas yra apie tai, ką kiekvienas duoda ir kiek kainuoja, o po to apie tai, kaip padaryti maršrutizuotą versiją testuojamą.

Du būdai prisijungti, vienas akivaizdus kompromisas

Maršrutizuota jungtis namų laboratoriją traktuoja kaip nuotolinį tinklą su savo adresavimu. Filialas prašo laboratorijos prefikso, tunelis perduoda tuos paketus, o laboratorijos šliuzas atsako iš savo potinklio. Nieko filialo ARP lentelėje nesikeičia, ir niekas iš laboratorijos DHCP srities nepasiekia filialo.

Tiltu sujungta jungtis išplečia vieną 2 sluoksnio domeną abiem vietoms. Atradimo protokolai veikia, įrenginiai atsiranda automatiškai, ir kiekviena transliacija, kiekviena ARP užklausa ir kiekvienas multicast paketas dabar yra kandidatas kirsti tunelį, tai yra didelis srauto kiekis, nešamas protokolų, sukurtų vietiniam segmentui, o ne WAN tinklui su kita MTU ir kintamu kelionės pirmyn ir atgal laiku.

Ką jums duoda maršrutizavimas

Pirmasis privalumas yra žalos spindulys. Kilpa, nepageidaujamas DHCP serveris ar transliacijų potvynis lieka toje vietoje, kuri jį sukūrė, nes maršrutizatorius transliacijų nepersiunčia. Antrasis yra adresavimo aiškumas: filialo prefiksas ir laboratorijos prefiksas skiriasi, todėl paketo paskirties vieta pasako, kuri vieta turi atsakyti, o ugniasienės taisyklė gali pasakyti „filialas į laboratorijos potinklį“, o ne „visur į visur“.

Trečiasis yra tai, kad tai atitinka tai, ką tunelis iš tikrųjų perduoda. IPsec politika yra prefiksų pora, o persiuntimo kelias kiekvienoje pusėje yra įprastas IP maršrutizavimas su įjungtu persiuntimu šliuze:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

To, ko atsisakote, yra atradimas transliacija. Tai tikras praradimas, ir jį reikia pakeisti sąmoningai, o ne apeiti sujungiant viską tiltu.

Kiek kainuoja tiltas

Tiltas turi perduoti 2 sluoksnio kadrus per tunelį, o tai reiškia inkapsuliavimą, pavyzdžiui, GRE ar VXLAN per IPsec, o ne paprastą politikos pagrindu veikiantį tunelį. Kai tai egzistuoja, abi vietos dalijasi gedimo sritimi. Spanning tree mato tunelį kaip jungtį, transliacijų srautas naudoja tunelio pralaidumą, ir kiekvienas įrenginys, kuris tikisi mažos delsos segmento, elgiasi netinkamai taip, kad sunku priskirti iš bet kurio galo.

Tai taip pat pašalina adresavimo kontrolę, kuri jus laiko sąžiningą. Su vienu plokščiu prefiksu pasikartojantis adresas nėra maršrutizavimo klaida, o du hostai, kurie tyliai vagia vienas kitam srautą, o persidengiantys prefiksai tarp filialo ir laboratorijos yra įprasti namų laboratorijos sąrankose, todėl tiltas to konflikto neišsprendžia; jis jį paskirsto.

Saugumo argumentas yra tas, kuris paprastai nusprendžia. Tiltas išplečia segmentą, kuriame veikia vietinės jungties protokolai, todėl įrenginys filiale gali kalbėtis su laboratorijos įrenginiais, kurie niekada neturėjo būti pasiekiami iš išorės. Jei laboratorijoje yra hipervizorius, saugyklos konsolė ir valdymo sąsaja tame pačiame plokščiame tinkle, dabar tai vienas segmentas kartu su filialu.

Vardai be transliacijos

Priežastis, kodėl žmonės jungia tiltu, paprastai yra atradimas: spausdintuvas, medijos įrenginys ar laboratorijos hostas, kuris niekada nepasirodo sąraše. Maršrutizuotas atsakymas yra vardų tarnyba. Paskelbkite laboratorijos hostus zonoje, kurią pasiekia filialo sprendiklis, o tada leiskite naudotojams jungtis pagal vardą, o ne skenuoti tinklą. Tai daugiau darbo pradžioje ir gerokai mažiau darbo kiekvieno būsimo pakeitimo metu.

Multicast atradimas yra sunkesnis atvejis, ir jis nusipelno tikslumo. Protokolai, tokie kaip mDNS, naudoja vietinės jungties multicast, kurio maršrutizatoriai pagal nutylėjimą nepersiunčia, todėl laboratorijos hostas, kurio trūksta atradimo sąraše, vis tiek gali būti pasiekiamas savo dokumentuotu adresu. Jei konkreti tarnyba tikrai reikalauja multicast, suplanuokite tą vieną protokolą su atspindėtoju ar tiksline persiuntimo taisykle, o ne sujunkite visą LAN tiltu kaip bendrą taisymą.

Atspindėtojas taip pat nėra nemokama pergalė. Jis importuoja tą patį šnekų srautą, kurio bandėte išvengti, po vieną tarnybą, ir jam reikia savininko, kuris pastebės, kai įrenginys pradės skelbti daugiau nei anksčiau. Rinkitės jį kiekvienai tarnybai ir užrašykite kodėl. Užrašykite, kuriai tarnybai jo prireikė ir ką ji skelbia, nes programinės įrangos atnaujinimas gali pakeisti tą sąrašą niekam nepranešęs.

Padarykite maršrutizuotą projektą testuojamą

Pasirinkite vieną tikslą, pavyzdžiui, laboratorijos žiniatinklio sąsają savo serverių potinkyje, ir įrodykite jį abiem kryptimis. Iš filialo hosto patvirtinkite adresą ir klausančią tarnybą vietoje, tada prisijunkite per tunelį ir pakartokite. Tunelis, kuris yra pakeltas, įrodo, kad šliuzai sutaria; apie hosto ugniasienę ar grįžimo kelią jis neįrodo nieko.

Įprastam laboratorijos šliuzui reikia kelio atgal į filialo prefiksą, nebent projektas sąmoningai verčia šaltinį, o paties serverio ugniasienė turi priimti leidžiamą nuotolinį diapazoną. Nė vieno iš jų nesukonfigūruoja sėkmingas tunelis. strongSwan persiuntimo pastabos aprašo paketų kelią, kuris turi veikti kiekvienoje pusėje.

Tada išbandykite ir uždraustą paskirties vietą. Filialo naudotojui, kuriam reikia vienos programos, nereikia hipervizoriaus konsolės, o vienintelis būdas sužinoti, kad politika yra tikra, yra išbandyti būtent tai, ką ji turėtų atmesti. Užrašykite prefiksus, priklausomybę nuo sprendiklio ir testų rezultatus, o būsimą pakeitimą bet kurioje vietoje galima peržiūrėti per minutes, o ne atkurti iš atminties.