Маршрутлагдсан эсвэл гүүрэн VPN: клиент юунд хүрэх ёстойгоос нь сонгоно уу

Нэг өдөр хоёр тасалбар ирдэг: нэг хэрэглэгчид дотоод вэб апп хэрэгтэй, нэг инженерт стендийн багаж нь ижил Ethernet сегмент дээр байгаа мэт ажиллах хэрэгтэй. Хоёуланд нь VPN-д хийгээрэй гэж хариулдаг бөгөөд асуудал яг тэндээс эхэлдэг. Маршрутлагдсан туннель ба гүүрэн туннель өөр өөр харилцааг сунгадаг бөгөөд хүсэлт бүрт тэдгээрийн зөвхөн нэг нь тохирдог. Топологийг сонгох нь хандалтын шийдвэр, криптографын тохиргоо биш.

Тасалбарын цонх дээр ижил харагдах хоёр хүсэлт

Ажилтны шаардлага нь IP-ээр хүрэх боломжтой үйлчилгээ бөгөөд таны хянадаггүй төхөөрөмжөөс. Инженерийн шаардлага холбоосын түвшинд байна: багаж нь Ethernet фрэйм, нэвтрүүлгийн илрүүлэлтийг харахыг хүлээж байна, магадгүй өөрийгөө гэж боддог сегментээс DHCP.

Эдгээр нь өөр асуултууд бөгөөд хоёуланд нь гүүрээр хариулах нь ажилтны хандалтыг шалтгаангүйгээр бүх оффисын LAN хүртэл өргөжүүлнэ.

Сонгохын өмнө шаардлагыг нэг өгүүлбэрээр бичээрэй: ямар очих газрууд, ямар протоколууд, ямар түншүүд орон нутгийн мэт харагдах ёстой. Хариулт нь хост ба порт бол маршрутлалт үүнийг хамарна. Хариулт нь зөвхөн нэвтрүүлгээр ярьдаг төхөөрөмжүүдтэй фрэймийн түвшний харилцаа бол гүүр нь цорын ганц сонголт байж болно. Дундах бүхэн үйлдвэрлэлийн LAN-ийн оронд туршилтын сегмент хүртэх ёстой.

Маршрут нь LAN-ийн гишүүнчлэлээс нарийн

Маршрутлагдсан клиент туннелийн дэд сүлжээнд хаяг, таны сонгосон префиксүүдэд маршрут авдаг. Бодлого тэгж хэлбэл, тэр аппын серверт хүрч, өөр юунд ч хүрэхгүй. Гарц нь хэрэгжүүлэх цэг болно, холбогдох бүх зам түүгээр дамжвал.

Маршрутыг зөвшөөрөлтэй андуурч болохгүй. Клиентэд дэд сүлжээнд хэрхэн хүрэхийг хэлэх нь өөр зорилгыг туршихаас сэргийлэхгүй.

Хандалтын хяналтыг урсгалыг үнэхээр хэрэгжүүлж чадах газарт хэрэглэж, аппын өөрийн зөвшөөрлүүдийг байранд нь үлдээгээрэй. Өргөн дамжуулалтын дүрэм эсвэл мартсан хоёр дахь интерфэйс диаграмаас илүү ихийг өгч болно. Хүчинтэй дүрмийг уншаарай, төлөвлөснийг биш. Дараа нь бүтэлгүйтэх ёстой зорилгыг туршаарай, учир нь хэн ч зөрчихийг оролдоогүй бодлого бол зөвхөн таамаг.

Гүүр элсэлтийн асуултыг өөрчилдөг

Гүүрлэлт нь физик интерфэйс ба TAP төхөөрөмжийг програм хангамжийн коммутаторт нэгтгэдэг тул алсын төхөөрөмжүүд ижил нэвтрүүлгийн домэйнд нэгддэг. Энэ бол бодит чадвар ба бодит эрсдэл: алсын төхөөрөмж цаашид маршрутлагдсан зочин биш, тэр оролцогч.

Ямар төхөөрөмжүүд нэгдэж болох, ямар фрэймийн төрлүүд дамжих, хүсээгүй харилцан үйлчлэл хаана блоклогдохыг шийдээрэй. Хаяглалт ба DHCP-ийн эрх мэдэл хуваалцсан сүлжээний хэсэг болж, нэг сегмент дээрх хоёр DHCP сервер яг таны хүлээж буй замбараагүй байдлыг үүсгэдэг.

Багажийн хувьд тусгай туршилтын сегмент нь оффисын LAN-аас илүү тохиромжтой байдаг. Удирдлагын хандалтыг туршилтаас гадуур байлгаж, ажил дуусахад түр оролцогчийг хэрхэн зайлуулахыг тодорхойлоорой.

Шүүлтүүр хоёр топологид хоёуланд нь байдаг

Гүүр нь өөрөө шүүгдэхгүй зүйл биш, маршрут нь өөрөө аюулгүй зүйл биш. Linux-ийн гүүрэн шүүлтүүр өөрийн дэгээ, өөрийн дүрмийн синтакстай бөгөөд маршрутлагдсан IP дамжуулалтад зориулсан дүрэм гүүрэн фрэймд автоматаар хамаарахгүй.

Хил амлахаас өмнө платформ үнэхээр юуг дэмждэгийг шалгаарай:

bridge link show
nft list ruleset

TUN ба TAP нь интерфэйсийн урсгалыг дүрсэлдэг, шифрийг биш. Интерфэйсийг солих нь түүнээс юу ч засахгүй: түншийн баталгаажуулалт, хулгайлагдсан түлхүүр, хуучирсан криптографын бодлого бүгд өөрчлөлтийг даван туулна. Хоёр талд ижил бөгөөд одоо ч дэмжигддэг тохиргоо хэрэгтэй хэвээр.

Хилийг гурван оролдлогоор батал

Хүлээн авалт бол гурван ажиглалт, диаграм хяналт биш. Шаардлагатай үйлдэл ажиллах ёстой, холбоогүй зорилго бүтэлгүйтэх ёстой, гарцын өөрийн удирдлагын үйлчилгээнүүд хүрэхгүй хэвээр байх ёстой.

Зөвшөөрөгдсөн ба хориглосон замыг нэг клиентээс ажиллуулж, хоёуланг нь тэмдэглээрэй:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Гүүрний хувьд холбоосын түвшний шалгалтуудыг нэмээрэй: зөвшөөрөгдсөн илрүүлэлтийн урсгал дамжиж байна уу, хаяглалт зориудын эрх мэдлээс ирж байна уу, түр оролцогч зайлуулсны дараа явсан уу. Энгийн маршрутлагдсан IP шаардлагыг аль хэдийн хангаж байвал оффисын Ethernet сегментэд нэгдэх нь тусдаа үндэслэл шаардана, үүнийг өөрчлөлтийн өмнө бичих ёстой.