Divi LAN NetBird: kuri vienaudži maršrutē un kas drīkst runāt

Darbstacija rietumu LAN atver pārlūku, ieraksta lietotnes adresi austrumu LAN un gaida, līdz beidzas laiks. Katrs NetBird ekrāns saka, ka vienaudži ir savienoti, kas ir taisnība un nav būtiski: būt vienā pārklājuma tīklā nav tas pats, kas turēt abus vietējos apakštīklus vienā tīklā. Tālāk aprakstītais ceļš sākas šajā darbstacijā un beidzas ar pieprasījumu, ko projekts apzināti noraida, un katra pietura ir kaut kas, ko nolasa no ierīces, nevis izdomā. Gaidiet, ka trūkstošā daļa būs maršruts vai politika, nevis pārklājums.

Vispirms nolasiet kļūdu no darbstacijas

Pirms atverat pārvaldības konsoli, noskaidrojiet, ko darbstacija patiešām sūta. Tās pašas maršrutēšanas tabula izlemj, vai pakete iet uz vietas vārteju, uz vietējo saskarni vai nekurp, un šis lēmums ir redzams bez jebkāda pārklājuma rīka. Mašīna bez maršruta uz tālo prefiksu neizdosies, lai cik vesels izskatītos vienaudžu saraksts. Pārklājuma diapazons un pašas vietas prefikss ir dažādas adrešu telpas, un reģistrācija konfigurēja tikai vienu no tām.

Pēc tam atdaliet nosaukumu atrisināšanu no sasniedzamības, jo pārlūks abus ziņo kā vienu un to pašu taimautu. Atkārtojiet pieprasījumu pēc adreses no mašīnas, kurā darbojas NetBird klients, un pēc tam no parastas darbstacijas, kurā tas nedarbojas. Ja reģistrētā mašīna izdodas un parastā neizdodas, plaisa ir vietējā maršrutēšanā; ja neizdodas abas, lasiet tālāk, pirms maināt maršrutu.

Izvēlieties vienu maršrutēšanas vienaudzi katrai vietai

Maršrutēšanas vienaudzis ir resursdators, kas pārklājumā pārstāv savu LAN, tāpēc izvēlieties Linux mašīnu ar stabilu sasniedzamību uz apakštīklu, nevis kāda rakstāmgalda darbstaciju. Reģistrējiet to parastajā procesā un ievietojiet grupā, kas nosaukta pēc lomas, jo tīkla resurss un politika abi atsauksies uz šo grupu. Viens pārstāvis vienai vietai paliek saprotams; brīvprātīgo bars, kas izziņo to pašu prefiksu, pārvērš katru vēlāko jautājumu atkļūdošanas sesijā. Vienaudža adrese vietējā segmentā ir tikpat svarīga kā tā identitāte pārklājumā, jo šī adrese kļūst par nākamo lēcienu, ko pasaka katrai parastai ierīcei.

Pierakstiet plānu pirms konsoles aizskaršanas, jo nosaukumi un prefiksi ir vieta, kur šie projekti noslīd: prefikss, vārteja, vienaudža adrese un grupa, katrai vietai. Rietumi ir 10.52.0.0/24, ko apkalpo 10.52.0.5, un austrumi ir 10.63.0.0/24, ko apkalpo 10.63.0.5; abas grupas ir west-routers un east-routers, un neviens prefikss nedrīkst pārklāties ar otru, ar pārklājuma diapazonu vai ar citu maršrutētu galamērķi.

Izveidojiet resursu, atstājiet maskēšanu ieslēgtu

Izvietotajā vadības panelī izveidojiet vienu tīkla resursu katrai vietai un pievienojiet tam tās vietas maršrutēšanas vienaudžu grupu. Resurss ir prefikss, un grupa ir resursdators, kas par to atbild, un abiem jābūt pirms kaut kas tiek izziņots. Pārliecinieties, ka izvietotajai pašhostētajai versijai vispār ir Tīklu darbplūsma, jo vecāka saskarne ar līdzīgi nosauktu maršruta objektu ir cita funkcija.

Atstājiet maskēšanu ieslēgtu. NetBird vietņu savienojuma ceļvedis to prasa šajā izkārtojumā, un tā izslēgšana, lai katra sākotnējā adrese paliktu redzama, nav tas pats projekts ar vienu lēcienu mazāk; tas maina, ko redz pārklājuma avota pārbaudes un politikas. Seku ir vērts pateikt tieši: saņēmējpakalpojums kā avotu reģistrē maršrutēšanas vienaudzi, nevis atsevišķu darbstaciju. Ja tā pakalpojuma atļauto saraksts vai audits gaida darbstaciju adreses, vai nu mainās gaidas, vai identitāte ir jāpiespiež vietas robežā pirms tulkošanas.

Pilnvarojiet iniciatorus, nevis prefiksus

Maršruts padara adresi sasniedzamu, un politika izlemj, kam to drīkst izmantot; tie ir divi atsevišķi objekti ar atsevišķiem īpašniekiem. Rakstiet politiku no darba slodzes atpakaļ: kura grupa iniciē, uz kuru resursu tā mērķē un kāds TCP pakalpojums tai vajadzīgs. Tīkls, kas izziņo abus prefiksus katram reģistrētajam vienaudzim, ir radījis sasniedzamību un neko nav izlēmis.

Pēc tam izlasiet, kas vēl jau ir atļauts, jo šaura jauna likuma neatsauc platu vecu, kas stāv virs tā. Kad austrumiem arī jāsāk savienojumi uz rietumiem, pierakstiet šo virzienu kā savu politiku; atgaitas trafiks sesijai, ko atvēra rietumi, ir cits jautājums nekā atļaut jaunas sesijas uz austrumiem. Ja tikai dažām rietumu darbstacijām jāsasniedz austrumu lietotne, atlasiet tās vietas robežā pirms tulkošanas un paturiet pašas lietotnes autentifikāciju. Maršrutēšanas vienaudzis pārvadā LAN trafiku kā visu vietu, nevis kā katra lietotāja pārklājuma identitāti, tāpēc uzskaiti pa lietotājiem jāņem no citurienes.

Iemāciet katrai vārtejai nākamo lēcienu, pēc tam pārbaudiet atteikumu

Parastās ierīces nekad neredz pārklājumu, tāpēc to pašu vārtejai vajag statisku maršrutu, kas tālo prefiksu vērš uz maršrutēšanas vienaudža LAN adresi. Šis ir solis, ko cilvēki izlaiž, jo viss redzamais NetBird iekšienē jau darbojas, kamēr parastās darbstacijas joprojām nokavē. Vārteja saglabā savu noklusējuma maršrutu kā bija; šis prefikss ir papildinājums, nevis aizstājējs.

Abi maršrutu apraksti pieder katras vietas vārtejas konfigurācijai, nevis resursdatora pārrakstam. Abi ir parasti statiski maršruti, un neviens neaizskar noklusējuma maršrutu:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Pārbaudiet ar lietotni, kas projektam patiešām vajadzīga, no parastas darbstacijas, un pierakstiet trīs lietas: nākamo lēcienu, kas izvēlēts sūtītāja pusē, politiku, kas atbilda, un avota adresi, ko pakalpojums reģistrēja. Pārbaudiet arī atteikumu, jo projektam, kas nekad neko nav atteicis, ir nezināmas malas, un atteikums ir vienīgais pierādījums, ka darbu dara politika, nevis maršrutēšana. Kad austrumiem arī jāiniciē, sāciet jaunu savienojumu no tās puses, nevis pieņemiet, ka otrais virziens sekos. Plānojiet arī maršrutēšanas vienaudža restartu, atjaunināšanu un nomaiņu, jo viens resursdators ir kļuvis par vietas atkarību.

Privātiem nosaukumiem vajag savu atrisinātāja projektu, jo sasniedzamība neveido DNS ierakstus, un strādājošs IP ceļš ar salauztu nosaukumu tiek lasīts tieši kā salauzts ceļš. Ja maršrutēšanas vienaudzis darbojas mākoņa tīklā, pārskatiet arī pakalpojumu sniedzēja pārsūtīšanas un ugunsmūra noteikumus, jo reģistrācija tos neatsauc. Turiet testa novērojumus blakus plānam, jo nākamais cilvēks, kas to atkļūdos, gribēs atbilstošo politiku un reģistrēto avota adresi, nevis topoloģijas aprakstu.