ശാഖയും ലബോറട്ടറിയും തമ്മിലുള്ള ലിങ്കിനായി റൂട്ടഡ് VPN അല്ലെങ്കിൽ ബ്രിഡ്ജ്ഡ് LAN

ഒരു ശാഖ വീട്ടിലെ ലബോറട്ടറിയിൽ എത്താൻ രണ്ട് വഴികളുണ്ട്, വ്യത്യാസം ഒരു ക്രമീകരണമല്ല. നിങ്ങൾക്ക് വെവ്വേറെ പ്രിഫിക്സുകൾക്കിടയിൽ റൂട്ട് ചെയ്യാം, അപ്പോൾ ഓരോ സൈറ്റും അതിന്റെ സ്വന്തം പ്രക്ഷേപണ ഡൊമെയ്ൻ നിലനിർത്തുന്നു, അല്ലെങ്കിൽ രണ്ട് LAN-കളും ഒന്നായി ബ്രിഡ്ജ് ചെയ്യാം, അപ്പോൾ പ്രക്ഷേപണങ്ങളും കണ്ടെത്തൽ ട്രാഫിക്കും എല്ലാവരും ഒരേ മുറിയിലുള്ളതുപോലെ പെരുമാറുന്നു. റൂട്ടിംഗ് എന്നത് യഥാർത്ഥ നെറ്റ്വർക്കുമായുള്ള സമ്പർക്കം താങ്ങുന്ന രൂപകൽപ്പനയാണ്. ബ്രിഡ്ജിംഗ് എന്നത് ആദ്യ ആഴ്ച എളുപ്പവും ആദ്യ തടസ്സം രസകരവുമാക്കുന്ന രൂപകൽപ്പനയാണ്. താഴെയുള്ള താരതമ്യം ഓരോന്നും എന്ത് നൽകുന്നു, എത്ര ചെലവാകുന്നു എന്നതിനെക്കുറിച്ചാണ്, തുടർന്ന് റൂട്ടഡ് പതിപ്പ് പരിശോധിക്കാവുന്നതാക്കുന്നതിനെക്കുറിച്ചാണ്.

ബന്ധിപ്പിക്കാൻ രണ്ട് വഴികൾ, ഒരു വ്യക്തമായ വിട്ടുവീഴ്ച

റൂട്ടഡ് ലിങ്ക് വീട്ടിലെ ലബോറട്ടറിയെ അതിന്റെ സ്വന്തം അഡ്രസ്സിംഗുള്ള ദൂര നെറ്റ്വർക്കായി കണക്കാക്കുന്നു. ശാഖ ലബോറട്ടറിയുടെ പ്രിഫിക്സ് ആവശ്യപ്പെടുന്നു, ടണൽ ആ പാക്കറ്റുകൾ വഹിക്കുന്നു, ലബോറട്ടറിയുടെ ഗേറ്റ്വേ അതിന്റെ സ്വന്തം സബ്നെറ്റിൽ നിന്ന് മറുപടി നൽകുന്നു. ശാഖയുടെ ARP പട്ടികയിൽ ഒന്നും മാറുന്നില്ല, ലബോറട്ടറിയുടെ DHCP പരിധിയിൽ നിന്ന് ഒന്നും ശാഖയിലെത്തുന്നില്ല.

ബ്രിഡ്ജ്ഡ് ലിങ്ക് ഒരേ ലെയർ 2 ഡൊമെയ്ൻ രണ്ട് സൈറ്റുകളിലേക്കും വ്യാപിപ്പിക്കുന്നു. കണ്ടെത്തൽ പ്രോട്ടോക്കോളുകൾ പ്രവർത്തിക്കുന്നു, ഉപകരണങ്ങൾ സ്വയം പ്രത്യക്ഷപ്പെടുന്നു, ഓരോ പ്രക്ഷേപണവും ഓരോ ARP അഭ്യർത്ഥനയും ഓരോ multicast പാക്കറ്റും ഇപ്പോൾ ടണൽ കടക്കാനുള്ള സ്ഥാനാർത്ഥിയാണ്, അതായത് പ്രാദേശിക സെഗ്മെന്റിനായി നിർമ്മിച്ച പ്രോട്ടോക്കോളുകൾ വഹിക്കുന്ന വലിയ അളവ് ട്രാഫിക്, വ്യത്യസ്ത MTU-ഉം മാറുന്ന റൗണ്ട്-ട്രിപ്പ് സമയവുമുള്ള WAN-ന് വേണ്ടിയല്ല.

റൂട്ടിംഗ് നിങ്ങൾക്ക് എന്ത് നൽകുന്നു

ആദ്യ നേട്ടം നാശത്തിന്റെ പരിധിയാണ്. ഒരു ലൂപ്പ്, ആവശ്യമില്ലാത്ത DHCP സർവർ അല്ലെങ്കിൽ പ്രക്ഷേപണങ്ങളുടെ വെള്ളപ്പൊക്കം അത് സൃഷ്ടിച്ച സൈറ്റിൽ തന്നെ തുടരുന്നു, കാരണം റൗട്ടർ പ്രക്ഷേപണങ്ങൾ കൈമാറുന്നില്ല. രണ്ടാമത്തേത് അഡ്രസ്സിംഗിന്റെ വ്യക്തതയാണ്: ശാഖയുടെ പ്രിഫിക്സും ലബോറട്ടറിയുടെ പ്രിഫിക്സും വ്യത്യസ്തമാണ്, അതിനാൽ പാക്കറ്റിന്റെ ലക്ഷ്യം ഏത് സൈറ്റ് മറുപടി നൽകണമെന്ന് പറയുന്നു, ഒരു ഫയർവാൾ നിയമത്തിന് «എവിടെ നിന്നും എവിടേക്കും» എന്നതിന് പകരം «ശാഖയിൽ നിന്ന് ലബോറട്ടറി സബ്നെറ്റിലേക്ക്» എന്ന് പറയാം.

മൂന്നാമത്തേത്, ടണൽ യഥാർത്ഥത്തിൽ എന്ത് വഹിക്കുന്നു എന്നതുമായി ഇത് യോജിക്കുന്നു. IPsec നയം പ്രിഫിക്സുകളുടെ ജോടിയാണ്, ഓരോ വശത്തെയും ഫോർവേഡിംഗ് പാത ഗേറ്റ്വേയിൽ ഫോർവേഡിംഗ് പ്രവർത്തനക്ഷമമാക്കിയ സാധാരണ IP റൂട്ടിംഗാണ്:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

നിങ്ങൾ ഉപേക്ഷിക്കുന്നത് പ്രക്ഷേപണത്തിലൂടെയുള്ള കണ്ടെത്തലാണ്. ഇത് യഥാർത്ഥ നഷ്ടമാണ്, എല്ലാം ബ്രിഡ്ജ് ചെയ്ത് ഒഴിവാക്കുന്നതിന് പകരം ബോധപൂർവം മാറ്റിസ്ഥാപിക്കണം.

ബ്രിഡ്ജിംഗിന്റെ ചെലവ്

ബ്രിഡ്ജിംഗിന് ലെയർ 2 ഫ്രെയിമുകൾ ടണലിലൂടെ വഹിക്കേണ്ടതുണ്ട്, അതായത് ലളിതമായ നയാധിഷ്ഠിത ടണലിന് പകരം IPsec-ന് മുകളിൽ GRE അല്ലെങ്കിൽ VXLAN പോലുള്ള എൻകാപ്സുലേഷൻ. ഇത് നിലവിലുള്ളപ്പോൾ, രണ്ട് സൈറ്റുകളും ഒരേ പരാജയ ഡൊമെയ്ൻ പങ്കിടുന്നു. Spanning tree ടണലിനെ ഒരു ലിങ്കായി കാണുന്നു, പ്രക്ഷേപണ ട്രാഫിക് ടണലിന്റെ ബാൻഡ്വിഡ്ത്ത് തിന്നുന്നു, കുറഞ്ഞ കാലതാമസമുള്ള സെഗ്മെന്റ് അനുമാനിക്കുന്ന ഏത് ഉപകരണവും ഏതെങ്കിലും അറ്റത്തുനിന്ന് ആരോപിക്കാൻ പ്രയാസമുള്ള വിധത്തിൽ തെറ്റായി പെരുമാറുന്നു.

ഇത് നിങ്ങളെ സത്യസന്ധമായി നിർത്തുന്ന അഡ്രസ്സിംഗ് പരിശോധനയും നീക്കം ചെയ്യുന്നു. ഒരു പരന്ന പ്രിഫിക്സിനൊപ്പം തനിപ്പകർപ്പ് വിലാസം റൂട്ടിംഗ് പിശകല്ല, പരസ്പരം ട്രാഫിക് നിശബ്ദമായി മോഷ്ടിക്കുന്ന രണ്ട് ഹോസ്റ്റുകളാണ്, ശാഖയ്ക്കും ലബോറട്ടറിക്കും ഇടയിൽ ഒഴിഞ്ഞുകിടക്കുന്ന പ്രിഫിക്സുകൾ വീട്ടിലെ ലബോറട്ടറി ക്രമീകരണങ്ങളിൽ സാധാരണമാണ്, അതിനാൽ ബ്രിഡ്ജിംഗ് ആ സംഘർഷം പരിഹരിക്കുന്നില്ല; അത് പങ്കിടുന്നു.

സുരക്ഷാ വാദമാണ് സാധാരണയായി തീരുമാനിക്കുന്നത്. ബ്രിഡ്ജ് ലിങ്ക്-ലോക്കൽ പ്രോട്ടോക്കോളുകൾ പ്രവർത്തിക്കുന്ന സെഗ്മെന്റ് വ്യാപിപ്പിക്കുന്നു, അതിനാൽ ശാഖയിലെ ഉപകരണത്തിന് പുറത്തുനിന്ന് എത്താൻ പാടില്ലാത്ത ലബോറട്ടറി ഉപകരണങ്ങളുമായി സംസാരിക്കാം. ലബോറട്ടറിയിൽ അതേ പരന്ന നെറ്റ്വർക്കിൽ hypervisor, സംഭരണ കൺസോൾ, മാനേജ്മെന്റ് ഇന്റർഫേസ് എന്നിവ ഉണ്ടെങ്കിൽ, ഇപ്പോൾ അത് ശാഖയ്ക്കൊപ്പം ഒരേ സെഗ്മെന്റാണ്.

പ്രക്ഷേപണമില്ലാതെ പേരുകൾ

ആളുകൾ ബ്രിഡ്ജ് ചെയ്യാനുള്ള കാരണം സാധാരണയായി കണ്ടെത്തലാണ്: ഒരു പ്രിന്റർ, മീഡിയ ഉപകരണം അല്ലെങ്കിൽ ഒരിക്കലും പട്ടികയിൽ കാണാത്ത ലബോറട്ടറി ഹോസ്റ്റ്. റൂട്ടഡ് ഉത്തരം ഒരു നാമ സേവനമാണ്. ലബോറട്ടറി ഹോസ്റ്റുകൾ ശാഖയുടെ റിസോൾവർ എത്താവുന്ന സോണിൽ പ്രസിദ്ധീകരിക്കുക, തുടർന്ന് ഉപയോക്താക്കളെ നെറ്റ്വർക്ക് സ്കാൻ ചെയ്യുന്നതിന് പകരം പേരിൽ ബന്ധിപ്പിക്കാൻ അനുവദിക്കുക. ഇത് തുടക്കത്തിൽ കൂടുതൽ ജോലിയും ഓരോ ഭാവി മാറ്റത്തിലും വളരെ കുറവുമാണ്.

multicast കണ്ടെത്തൽ കൂടുതൽ ബുദ്ധിമുട്ടുള്ള കേസാണ്, അതിന് കൃത്യത അർഹതയുണ്ട്. mDNS പോലുള്ള പ്രോട്ടോക്കോളുകൾ ലിങ്ക്-ലോക്കൽ multicast ഉപയോഗിക്കുന്നു, റൗട്ടറുകൾ അത് സ്വതവേ കൈമാറുന്നില്ല, അതിനാൽ കണ്ടെത്തൽ പട്ടികയിൽ നിന്ന് വിട്ടുപോയ ലബോറട്ടറി ഹോസ്റ്റ് അതിന്റെ രേഖപ്പെടുത്തിയ വിലാസത്തിൽ ഇപ്പോഴും എത്താവുന്നതായിരിക്കാം. ഒരു നിർദ്ദിഷ്ട സേവനത്തിന് യഥാർത്ഥത്തിൽ multicast ആവശ്യമെങ്കിൽ, മുഴുവൻ LAN-ഉം പൊതുവായ അറ്റകുറ്റപ്പണിയായി ബ്രിഡ്ജ് ചെയ്യുന്നതിന് പകരം ആ ഒരു പ്രോട്ടോക്കോൾ ആസൂത്രണം ചെയ്യുക, ഒരു പ്രതിഫലന ഉപകരണം അല്ലെങ്കിൽ ലക്ഷ്യമിട്ട ഫോർവേഡിംഗ് നിയമത്തോടെ.

പ്രതിഫലന ഉപകരണവും സൗജന്യ വിജയമല്ല. നിങ്ങൾ ഒഴിവാക്കാൻ ശ്രമിച്ച അതേ സംസാര ട്രാഫിക് ഒരു സമയത്ത് ഒരു സേവനമായി അകത്തേക്ക് കൊണ്ടുവരുന്നു, ഒരു ഉപകരണം മുമ്പത്തേക്കാൾ കൂടുതൽ പ്രചരിപ്പിക്കാൻ തുടങ്ങുമ്പോൾ ശ്രദ്ധിക്കുന്ന ഉടമ ആവശ്യമാണ്. ഓരോ സേവനത്തിനും അത് തിരഞ്ഞെടുക്കുക, എന്തുകൊണ്ടെന്ന് എഴുതുക. ഏത് സേവനത്തിന് അത് ആവശ്യമായിരുന്നു, അത് എന്ത് പ്രചരിപ്പിക്കുന്നു എന്നിവ രേഖപ്പെടുത്തുക, കാരണം firmware അപ്ഡേറ്റ് ആ പട്ടിക ആരോടും പറയാതെ മാറ്റാം.

റൂട്ടഡ് രൂപകൽപ്പന പരിശോധിക്കാവുന്നതാക്കുക

ഒരു ലക്ഷ്യം തിരഞ്ഞെടുക്കുക, ഉദാഹരണത്തിന് ലബോറട്ടറിയുടെ വെബ് ഇന്റർഫേസ് അതിന്റെ സ്വന്തം സെർവർ സബ്നെറ്റിൽ, അത് രണ്ട് ദിശകളിലും തെളിയിക്കുക. ശാഖയിലെ ഹോസ്റ്റിൽ നിന്ന് വിലാസവും കേൾക്കുന്ന സേവനവും പ്രാദേശികമായി സ്ഥിരീകരിക്കുക, തുടർന്ന് ടണലിലൂടെ ബന്ധിപ്പിച്ച് ആവർത്തിക്കുക. നിൽക്കുന്ന ടണൽ ഗേറ്റ്വേകൾ യോജിക്കുന്നുവെന്ന് തെളിയിക്കുന്നു; ഹോസ്റ്റിന്റെ ഫയർവാളിനെക്കുറിച്ചോ മടങ്ങിവരുന്ന പാതയെക്കുറിച്ചോ ഒന്നും തെളിയിക്കുന്നില്ല.

ലബോറട്ററിയുടെ സാധാരണ ഗേറ്റ്വേയ്ക്ക് ശാഖയുടെ പ്രിഫിക്സിലേക്ക് തിരികെയുള്ള പാത ആവശ്യമാണ്, രൂപകൽപ്പന ബോധപൂർവം ഉറവിടം വിവർത്തനം ചെയ്യുന്നില്ലെങ്കിൽ, സർവറിന്റെ സ്വന്തം ഫയർവാൾും അനുവദിച്ച ദൂര പരിധി സ്വീകരിക്കണം. ഇവയൊന്നും വിജയകരമായ ടണൽ കോൺഫിഗർ ചെയ്യുന്നില്ല. strongSwan-ന്റെ ഫോർവേഡിംഗ് കുറിപ്പുകൾ ഓരോ വശത്തും പ്രവർത്തിക്കേണ്ട പാക്കറ്റ് പാത വിവരിക്കുന്നു.

തുടർന്ന് നിരസിക്കപ്പെട്ട ലക്ഷ്യവും പരിശോധിക്കുക. ഒരു ആപ്ലിക്കേഷൻ ആവശ്യമുള്ള ശാഖ ഉപയോക്താവിന് hypervisor കൺസോൾ ആവശ്യമില്ല, നയം യഥാർത്ഥമാണെന്ന് അറിയാനുള്ള ഏക മാർഗം അത് നിരസിക്കേണ്ടത് തന്നെ പരീക്ഷിക്കുകയാണ്. പ്രിഫിക്സുകൾ, റിസോൾവർ ആശ്രിതത്വം, പരിശോധനാ ഫലങ്ങൾ എന്നിവ രേഖപ്പെടുത്തുക, ഏതെങ്കിലും സൈറ്റിൽ ഭാവിയിലെ മാറ്റം ഓർമ്മയിൽ നിന്ന് വീണ്ടും നിർമ്മിക്കുന്നതിന് പകരം മിനിറ്റുകളിൽ അവലോകനം ചെയ്യാം.