Маршрутизиран VPN или мостов LAN за врска помеѓу филијала и лабораторија

Постојат два начина да се направи филијала да стигне до домашна лабораторија, а разликата не е поставка. Можете да маршрутизирате помеѓу различни префикси, така што секој локалитет ќе го задржи својот домен на емитување, или можете да ги мостите двете локални мрежи во една, така што емитувањата и сообраќајот за откривање се однесуваат како сите да се во иста соба. Маршрутизирањето е решението што издржува контакт со вистинска мрежа. Мостењето е решението што ја прави првата недела лесна и првиот дефект интересен. Споредбата подолу е за тоа што дава секое и колку чини, а потоа за тоа како да се направи маршрутизираната варијанта проверлива.

Два начина да се поврзете, еден очигледен компромис

Маршрутизирана врска ја третира домашната лабораторија како оддалечена мрежа со сопствено адресирање. Филијалата го бара префиксот на лабораторијата, тунелот ги пренесува тие пакети, а портата на лабораторијата одговара од сопствената подмрежа. Ништо во ARP табелата на филијалата не се менува и ништо од DHCP опсегот на лабораторијата не стигнува до филијалата.

Мостова врска шири еден домен од ниво 2 врз двата локалитети. Протоколите за откривање работат, уредите се појавуваат автоматски и секое емитување, секое ARP барање и секој multicast пакет сега е кандидат да помине низ тунелот, односно големо количество сообраќај носено од протоколи создадени за локален сегмент, а не за WAN со друг MTU и променливо време на обиколување.

Што ви дава маршрутизирањето

Првата предност е опсегот на штетата. Јамка, несакан DHCP сервер или лавина од емитувања останува во локалитетот што го создал, зашто маршрутизаторот не препраќа емитувања. Втората е јасноста на адресирањето: префиксот на филијалата и префиксот на лабораторијата се различни, па одредиштето на пакетот ви кажува кој локалитет треба да одговори, и правило на огнениот ѕид може да каже „филијала кон подмрежата на лабораторијата“ наместо „насекаде кон насекаде“.

Третото е што одговара на тоа што тунелот навистина го пренесува. Политиката IPsec е пар префикси, а патеката за препраќање од секоја страна е обично IP маршрутизирање со вклучено препраќање на портата:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Она од што се откажувате е откривањето преку емитување. Тоа е вистинска загуба и треба да се замени намерно, а не да се заобиколи со мостење на сѐ.

Колку чини мостот

Мостот мора да пренесува рамки од ниво 2 низ тунел, што значи инкапсулација како GRE или VXLAN врз IPsec наместо прост тунел заснован на политики. Штом тоа постои, двата локалитети делат еден домен на откажување. Spanning tree го гледа тунелот како врска, сообраќајот од емитување ја троши пропусната моќ на тунелот и секој уред што претпоставува сегмент со мала латентност се однесува погрешно на начини што тешко се припишуваат од кој било крај.

Тоа ја отстранува и проверката на адресирањето што ве држи чесни. Со еден рамен префикс, дупликат адреса не е грешка во маршрутизирањето, туку два хоста што тивко си крадат сообраќај, а преклопувачките префикси помеѓу филијала и лабораторија се вообичаени во домашните лаборатории, па мостот не го решава тој конфликт; го распределува.

Аргументот за безбедност обично одлучува. Мостот го шири сегментот на кој работат протоколите за локална врска, па уред во филијалата може да зборува со уреди на лабораторијата што никогаш не требало да бидат достапни однадвор. Ако лабораторијата има хипервизор, конзола за складирање и интерфејс за управување во истата рамна мрежа, сега тоа е еден сегмент заедно со филијалата.

Имиња без емитување

Причината луѓето да прават мостови обично е откривањето: печатач, медиумски уред или хост на лабораторијата што никогаш не се појавува во список. Маршрутизираниот одговор е услуга за имиња. Објавете ги хосторите на лабораторијата во зона што резолверот на филијалата може да ја достигне, потоа дозволете им на корисниците да се поврзуваат по име наместо да ја скенираат мрежата. Тоа е повеќе работа на почетокот и значително помалку работа при секоја идна промена.

Откривањето преку multicast е потешкиот случај и заслужува прецизност. Протоколи како mDNS користат multicast за локална врска, што маршрутизаторите не го препраќаат стандардно, па хост на лабораторијата што недостасува во список за откривање може да остане достапен на својата документирана адреса. Ако одредена услуга навистина бара multicast, планирајте го тој еден протокол, со рефлектор или насочено правило за препраќање, наместо да ја мостите целата локална мрежа како општо поправање.

Ни рефлекторот не е бесплатна победа. Тој го внесува истиот зборлив сообраќај што се обидувавте да го избегнете, една услуга по една, и му треба сопственик што ќе забележи кога уред ќе почне да објавува повеќе од порано. Избирајте го за секоја услуга и запишете зошто. Забележете која услуга го бараше и што објавува, зашто ажурирање на фирмверот може да го промени тој список без да каже никому.

Направете ја маршрутизираната варијанта проверлива

Изберете една цел, на пример веб интерфејс на лабораторијата во сопствената подмрежа на сервери, и докажете го во двете насоки. Од хост во филијалата локално потврдете ја адресата и услугата што слуша, потоа поврзете се низ тунелот и повторете. Кренат тунел докажува дека портите се согласни; за огнениот ѕид на хостот или повратната рута не докажува ништо.

Обичната порта на лабораторијата бара рута назад кон префиксот на филијалата, освен ако проектот намерно не го преведува изворот, а огнениот ѕид на самиот сервер мора да го прифати дозволениот оддалечен опсег. Ниту едното од двете не го конфигурира успешен тунел. Белешките за препраќање на strongSwan ја опишуваат патеката на пакетите што мора да работи од секоја страна.

Потоа тестирајте и забрането одредиште. Корисник на филијалата на кого му треба една апликација не му треба конзолата на хипервизорот, и единствениот начин да знаете дека политиката е вистинска е да го пробате токму тоа што таа треба да го одбие. Запишете ги префиксите, зависноста од резолверот и резултатите од тестовите, и идна промена во кој било локалитет може да се прегледа за минути наместо да се обновува по сеќавање.