Maršrutēts VPN vai tiltā savienots LAN savienojumam starp filiāli un laboratoriju

Ir divi veidi, kā filiāle sasniedz mājas laboratoriju, un atšķirība nav iestatījums. Jūs varat maršrutēt starp atsevišķiem prefiksiem, lai katra vieta saglabātu savu apraides domēnu, vai arī savienot abus LAN tiltā vienā, lai apraides un atklāšanas trafiks uzvestos tā, it kā visi būtu vienā telpā. Maršrutēšana ir projekts, kas pārdzīvo saskari ar īstu tīklu. Tilts ir projekts, kas padara pirmo nedēļu vieglu un pirmo avāriju interesantu. Zemāk esošais salīdzinājums ir par to, ko katrs dod un cik tas maksā, un pēc tam par to, kā padarīt maršrutēto versiju pārbaudāmu.

Divi savienošanas veidi, viens acīmredzams kompromiss

Maršrutēts savienojums mājas laboratoriju uzskata par attālinātu tīklu ar savu adresāciju. Filiāle pieprasa laboratorijas prefiksu, tunelis pārraida šos paketes, un laboratorijas vārteja atbild no sava apakštīkla. Nekas filiāles ARP tabulā nemainās, un nekas no laboratorijas DHCP apgabala nesasniedz filiāli.

Tiltā savienots savienojums izstiepj vienu 2. slāņa domēnu pāri abām vietām. Atklāšanas protokoli darbojas, ierīces parādās automātiski, un katra apraide, katrs ARP pieprasījums un katra multicast pakete tagad ir kandidāts šķērsot tuneli, tas ir, liels trafika apjoms, ko nes protokoli, kas veidoti lokālam segmentam, nevis WAN ar citu MTU un mainīgu turp-atpakaļ laiku.

Ko jums dod maršrutēšana

Pirmā priekšrocība ir bojājumu rādiuss. Cilpa, nevēlams DHCP serveris vai apraides plūdi paliek tajā vietā, kas to radīja, jo maršrutētājs apraides nepārsūta. Otrā ir adresācijas skaidrība: filiāles prefikss un laboratorijas prefikss ir atšķirīgi, tāpēc paketes galamērķis jums pasaka, kurai vietai jāatbild, un ugunsmūra noteikums var teikt „filiāle uz laboratorijas apakštīklu”, nevis „visur uz visur”.

Trešā ir tā, ka tas atbilst tam, ko tunelis faktiski pārvada. IPsec politika ir prefiksu pāris, un pārsūtīšanas ceļš katrā pusē ir parasta IP maršrutēšana ar iespējotu pārsūtīšanu uz vārteju:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Tas, no kā jūs atsakāties, ir atklāšana ar apraidi. Tas ir īsts zaudējums, un tas ir jāaizstāj apzināti, nevis jāapiet, visu savienojot tiltā.

Cik maksā tilts

Tiltam jāpārvada 2. slāņa kadri caur tuneli, kas nozīmē iekapsulējumu, piemēram, GRE vai VXLAN virs IPsec, nevis vienkāršu uz politiku balstītu tuneli. Kad tas pastāv, abas vietas dala atteices domēnu. Spanning tree redz tuneli kā saiti, apraides trafiks patērē tuneļa joslas platumu, un katra ierīce, kas pieņem segmentu ar zemu latentumu, uzvedas nepareizi tādos veidos, ko no jebkura gala ir grūti attiecināt.

Tas arī noņem adresācijas pārbaudi, kas jūs uztur godīgu. Ar vienu plakanu prefiksu dublēta adrese nav maršrutēšanas kļūda, bet divi resursdatori, kas klusi zog viens otram trafiku, un pārklājošies prefiksi starp filiāli un laboratoriju ir bieži sastopami mājas laboratorijas uzstādījumos, tāpēc tilts šo konfliktu neatrisina; tas to sadala.

Drošības arguments ir tas, kas parasti izšķir. Tilts izstiepj segmentu, kurā darbojas vietējās saites protokoli, tāpēc ierīce filiālē var sazināties ar laboratorijas ierīcēm, kurām nekad nevajadzēja būt sasniedzamām no ārpuses. Ja laboratorijā ir hipervizors, krātuves konsole un pārvaldības saskarne tajā pašā plakanajā tīklā, tagad tas ir viens segments kopā ar filiāli.

Nosaukumi bez apraides

Iemesls, kāpēc cilvēki savieno tiltā, parasti ir atklāšana: printeris, mediju atskaņotājs vai laboratorijas resursdators, kas nekad neparādās sarakstā. Maršrutētā atbilde ir nosaukumu pakalpojums. Publicējiet laboratorijas resursdatorus zonā, kuru filiāles risinātājs var sasniegt, un pēc tam ļaujiet lietotājiem savienoties pēc nosaukuma, nevis skenēt tīklu. Tas ir vairāk darba sākumā un ievērojami mazāk darba pie katras turpmākās izmaiņas.

Multicast atklāšana ir grūtākais gadījums, un tā ir pelnījusi precizitāti. Protokoli, piemēram, mDNS, izmanto vietējās saites multicast, ko maršrutētāji pēc noklusējuma nepārsūta, tāpēc laboratorijas resursdators, kas trūkst atklāšanas sarakstā, joprojām var būt sasniedzams savā dokumentētajā adresē. Ja konkrēts pakalpojums patiešām prasa multicast, plānojiet to vienu protokolu ar atstarotāju vai mērķētu pārsūtīšanas noteikumu, nevis savienojiet visu LAN tiltā kā vispārīgu labojumu.

Arī atstarotājs nav bezmaksas uzvara. Tas importē to pašu runīgo trafiku, no kura jūs centāties izvairīties, pa vienam pakalpojumam, un tam vajadzīgs īpašnieks, kas pamanīs, kad ierīce sāks reklamēt vairāk nekā iepriekš. Izvēlieties to katram pakalpojumam un pierakstiet kāpēc. Pierakstiet, kuram pakalpojumam tas bija vajadzīgs un ko tas reklamē, jo programmaparatūras atjauninājums var mainīt šo sarakstu, nevienam nepasakot.

Padariet maršrutēto projektu pārbaudāmu

Izvēlieties vienu mērķi, piemēram, laboratorijas tīmekļa saskarni savā serveru apakštīklā, un pierādiet to abos virzienos. No resursdatora filiālē lokāli apstipriniet adresi un klausošos pakalpojumu, pēc tam savienojieties caur tuneli un atkārtojiet. Tunelis, kas ir uzcelts, pierāda, ka vārtejas ir vienisprātis; par resursdatora ugunsmūri vai atgriešanās ceļu tas nepierāda neko.

Parastajai laboratorijas vārtejai vajadzīgs ceļš atpakaļ uz filiāles prefiksu, ja vien projekts apzināti netulko avotu, un paša servera ugunsmūrim ir jāpieņem atļautais attālinātais diapazons. Ne vienu no tiem nekonfigurē veiksmīgs tunelis. strongSwan pārsūtīšanas piezīmes apraksta pakešu ceļu, kam jādarbojas katrā pusē.

Pēc tam pārbaudiet arī aizliegtu galamērķi. Filiāles lietotājam, kam vajadzīga viena lietojumprogramma, nav vajadzīga hipervizora konsole, un vienīgais veids, kā uzzināt, ka politika ir īsta, ir pamēģināt tieši to, ko tai vajadzētu atteikt. Pierakstiet prefiksus, atkarību no risinātāja un testu rezultātus, un turpmāku izmaiņu jebkurā vietā var pārskatīt minūtēs, nevis pārbūvēt no atmiņas.