VPN svetainės išplėtimas: sekite grįžimo maršrutą už tinklo vartų

Srautas iš filialo baigiasi tinklo vartuose, kurių LAN neturi programos, kurią jums reikėjo pasiekti. Serveris yra antrame duomenų centre, už vidinės jungties, kurios VPN niekada nesukonfigūravo. Dar vieno prefikso pridėjimas prie artimųjų tinklo vartų tam atvejui nieko neduoda, nes tolimieji tinklo vartai yra šifravimo galinis taškas, o ne paskutinis maršrutizatorius. Keliui reikia maršruto pirmyn, priėmimo tolimoje saugumo riboje ir grįžimo sprendimo pačiame paskirties tinkle.

Tolimieji tinklo vartai yra šifravimo galinis taškas

IPsec tarp tinklo vartų saugo srautą tarp dviejų saugumo įrenginių, o vidiniai adresai tuo segmentu keliauja užšifruoti. Už tolimųjų tinklo vartų perima įprastas maršrutizavimas, įskaitant bet kokią politiką, egzistuojančią tarp duomenų centrų. Taigi apsaugotas segmentas apima dalį kelionės, o ne likusią dalį. Manyti priešingai yra būdas, kuriuo projektas baigiasi sveiku tuneliu ir nepasiekiama programa.

Nubrėžkite kelią trimis dalimis: filialas į artimuosius tinklo vartus, artimieji į tolimuosius, tolimieji į programą. Kiekviena dalis turi savo savininką ir savo gedimo būdą.

Perskaitykite abi tunelio politikos kryptis

Tunelio politika paprastai rašoma iš vietinės pusės perspektyvos, ir būtent iš šio įpročio kyla dalinės konfigūracijos. Abi pusės turi išvardyti filialo šaltinį ir paskirties vietą taip, kaip jie atrodys tunelio viduje, įskaitant bet kokį vertimą, kurį numato projektas. Atnaujinus tik artimąjį galą atsiranda antrosios fazės neatitikimas, kuris atrodo kaip maršrutizavimo gedimas. Palyginkite abu politikos rinkinius prieš liesdami bet kurį maršrutą.

Rašykite šaltinį ir paskirties vietą kaip adresus, o ne kaip svetainės pavadinimus. Neaiškumas čia vėliau vėl pasirodys kaip gluminanti asimetrija.

Pridėkite maršrutą pirmyn ir patvirtinkite priėmimą

Tolimiesiems tinklo vartams reikia maršruto į programos potinklį, o kiekvienas maršrutizatorius tarp jų turi priimti filialo šaltinį. Patikrinkite, ką tolimieji tinklo vartai iš tikrųjų turi, o ne ką teigia schema.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Pirmoji komanda praneša išėjimo sąsają ir kitą šuolį, kuriuos tolimieji tinklo vartai pasirinktų tam šaltiniui, o tai klausimas, į kurį įprasta maršrutizavimo lentelė negali atsakyti. Trasavimas parodo, kur paketai sustoja, o nutrūkimas po tolimųjų tinklo vartų rodo vidinį tranzitą, o ne tunelį. Kai maršrutas yra, o srautas vis tiek dingsta, fiksuokite tolimuosiuose tinklo vartuose ir perskaitykite atvykstantį šaltinio adresą, nes netikėtas adresas reiškia, kad vertimas vyksta kažkur neplanuotai. Visi adresai čia yra vietos žymekliai, todėl pakeiskite tikruosius filialo, tranzito ir programos potinklius.

Bandykite iš filialo, tada dar kartą išbandykite senąjį kelią

Priėmimui reikia tikro šaltinio, o ne zondavimo iš tolimųjų tinklo vartų. Vykdykite patikrą iš filialo kompiuterio ir palikite anksčiau veikusias paskirties vietas tame pačiame bandyme.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Atsakymas iš programos įrodo kelią pirmyn ir grįžimo kelią kartu, o ping į senąją paskirties vietą įrodo, kad pakeitimas nesugadino to, kas jau veikė. Užfiksuokite šaltinio adresą, kurį registruoja programa, nes jos prieigos taisyklės ir bet koks grįžimo maršrutas turi atitikti tą reikšmę. Kai filialas verčia prieš tunelį, politikos adresas ir adresas, kurį mato programa, skiriasi pagal projektą, todėl užrašykite abu. Pakartokite bandymą po rakto atnaujinimo ar maršrutizavimo pakeitimo, nes šie keliai paprastai patikrinami vieną kartą ir paskui pamirštami.

Paskirkite savininką kiekvienam iš trijų segmentų ir grįžimo maršrutui paskirties tinklo viduje. Kelias su keturiais savininkais žlunga tarpuose tarp jų.