Салбар ба лабораторийн хоорондын холбоонд чиглүүлсэн VPN эсвэл гүүрэн LAN

Салбарыг гэрийн лабораторид хүргэх хоёр арга байгаа бөгөөд ялгаа нь тохиргоо биш. Та тусдаа префиксүүдийн хооронд чиглүүлж болно, ингэснээр сайт бүр өөрийн нэвтрүүлэгийн домэйныг хадгална, эсвэл хоёр LAN-ыг нэг болгон гүүрээр холбож болно, ингэснээр нэвтрүүлэг болон илрүүлэлтийн урсгал бүгд нэг өрөөнд байгаа мэт ажиллана. Чиглүүлэлт бол бодит сүлжээтэй харьцахад тэсвэрлэдэг загвар юм. Гүүрэн холболт бол эхний долоо хоногийг хялбар, анхны тасалдлыг сонирхолтой болгодог загвар юм. Доорх харьцуулалт нь аль нь юу өгч, хэр их зардалтай болох, дараа нь чиглүүлсэн хувилбарыг хэрхэн шалгах боломжтой болгох тухай юм.

Холбогдох хоёр арга, нэг тодорхой зохицуулалт

Чиглүүлсэн холболт нь гэрийн лабораторийг өөрийн хаяглалттай алсын сүлжээ гэж үздэг. Салбар лабораторийн префиксийг асууна, туннель эдгээр пакетийг зөөнө, лабораторийн гарц өөрийн дэд сүлжээнээс хариулна. Салбарын ARP хүснэгтэд юу ч өөрчлөгдөхгүй, лабораторийн DHCP хүрээнээс юу ч салбарт хүрэхгүй.

Гүүрэн холболт нь нэг 2-р түвшний домэйныг хоёр сайтад сунгана. Илрүүлэлтийн протоколууд ажиллана, төхөөрөмжүүд автоматаар гарч ирнэ, нэвтрүүлэг бүр, ARP хүсэлт бүр, multicast пакет бүр одоо туннелээр гарах нэр дэвшигч болно, энэ нь орон нутгийн сегментэд зориулж бүтээсэн протоколуудаар зөөгддөг, өөр MTU болон хувьсах очих-буцах хугацаатай WAN-д зориулагдаагүй их хэмжээний урсгал юм.

Чиглүүлэлт юу өгдөг

Эхний давуу тал бол хохирлын радиус юм. Давталт, хүсээгүй DHCP сервер эсвэл нэвтрүүлэгийн үер үүнийг үүсгэсэн сайтад үлддэг, учир нь чиглүүлэгч нэвтрүүлэгийг дамжуулдаггүй. Хоёр дахь нь хаяглалтын тодорхой байдал: салбарын префикс болон лабораторийн префикс ялгаатай тул пакетийн очих газар аль сайт хариулах ёстойг хэлж, галт хананы дүрэм «хаанаас ч хаашаа» гэхийн оронд «салбараас лабораторийн дэд сүлжээ рүү» гэж хэлж болно.

Гурав дахь нь туннель үнэхээр юу зөөж байгаатай тохирч байгаа явдал юм. IPsec бодлого нь префиксийн хос, хоёр талын дамжуулах зам нь гарц дээр дамжуулалт асаалттай энгийн IP чиглүүлэлт:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Таны орхиж буй зүйл бол нэвтрүүлэгээр илрүүлэх явдал юм. Энэ бол бодит алдагдал бөгөөд бүгдийг гүүрээр холбож тойрохын оронд санаатайгаар солих хэрэгтэй.

Гүүрэн холболтын зардал

Гүүрэн холболт нь 2-р түвшний фрэймүүдийг туннелээр зөөх ёстой бөгөөд энэ нь энгийн бодлогод суурилсан туннелийн оронд IPsec дээгүүр GRE эсвэл VXLAN зэрэг инкапсуляцийг хэлнэ. Энэ бий болсны дараа хоёр сайт нэг алдааны домэйныг хуваалцана. Spanning tree туннелийг холбоос гэж үзнэ, нэвтрүүлэгийн урсгал туннелийн зурвасын өргөнийг иднэ, бага сааталтай сегмент гэж үзсэн аливаа төхөөрөмж хоёр үзүүрээс холбоход хэцүү байдлаар буруу ажиллана.

Энэ нь мөн таныг шударга байлгадаг хаяглалтын шалгалтыг арилгана. Нэг хавтгай префикстэй үед давхардсан хаяг нь чиглүүлэлтийн алдаа биш, харин бие биенийхээ урсгалыг чимээгүй хулгайлж буй хоёр хост бөгөөд салбар болон лабораторийн хооронд давхцах префиксүүд гэрийн лабораторийн угсралтад түгээмэл байдаг тул гүүрэн холболт тэр зөрчилдлийг шийддэггүй; үүнийг хуваарилдаг.

Ихэвчлэн шийдвэрийг аюулгүй байдлын үндэслэл өгдөг. Гүүр нь link-local протоколууд ажилладаг сегментийг сунгадаг тул салбар дахь төхөөрөмж гаднаас хүрэх боломжгүй байх ёстой лабораторийн төхөөрөмжүүдтэй ярьж чадна. Хэрэв лабораторид нэг хавтгай сүлжээнд гипервизор, хадгалалтын консол, удирдлагын интерфэйс байвал энэ нь одоо салбартай хамт нэг сегмент юм.

Нэвтрүүлэггүй нэрс

Хүмүүсийн гүүрээр холбох шалтгаан ихэвчлэн илрүүлэлт: жагсаалтад хэзээ ч гарч ирдэггүй принтер, медиа төхөөрөмж эсвэл лабораторийн хост. Чиглүүлсэн хариулт бол нэрийн үйлчилгээ юм. Лабораторийн хостнуудыг салбарын шийдэгч хүрч чадах бүсэд нийтэлж, дараа нь хэрэглэгчдэд сүлжээг скан хийхийн оронд нэрээр холбогдохыг зөвшөөрөөрэй. Энэ нь эхэнд илүү их ажил, ирээдүйн өөрчлөлт бүрт хамаагүй бага ажил.

Multicast илрүүлэлт нь илүү хэцүү тохиолдол бөгөөд нарийвчлалтай байх ёстой. mDNS зэрэг протоколууд нь чиглүүлэгчид анхдагчаар дамжуулдаггүй link-local multicast ашигладаг тул илрүүлэлтийн жагсаалтад дутуу лабораторийн хост баримтжуулсан хаягаараа хүртээмжтэй хэвээр байж болно. Хэрэв тодорхой үйлчилгээ үнэхээр multicast шаарддаг бол бүх LAN-ыг ерөнхий засвар болгон гүүрээр холбохын оронд тэр нэг протоколыг тусгагч эсвэл зорилтот дамжуулах дүрмээр төлөвлөөрэй.

Тусгагч ч бас үнэгүй ялалт биш. Энэ нь таны зайлсхийх гэж оролдсон ярианы урсгалыг нэг үйлчилгээгээр оруулж ирдэг бөгөөд төхөөрөмж урьд өмнөхөөсөө илүү их зарлаж эхлэхийг анзаарах эзэн хэрэгтэй. Үйлчилгээ бүрээр сонгож, яагаад гэдгийг бичээрэй. Аль үйлчилгээнд хэрэгтэй байсан, юу зарладаг талаар тэмдэглээрэй, учир нь firmware шинэчлэлт тэр жагсаалтыг хэнд ч хэлэлгүй өөрчилж болно.

Чиглүүлсэн загварыг шалгах боломжтой болгоорой

Нэг зорилтыг сонгоорой, жишээ нь лабораторийн өөрийн серверийн дэд сүлжээн дэх вэб интерфэйсийг, хоёр чиглэлд нотлоорой. Салбар дахь хостоос хаяг болон сонсож буй үйлчилгээг орон нутагт баталгаажуулж, дараа нь туннелээр холбогдоод давтаарай. Боссон туннель нь гарцуудыг санал нийлж байгааг нотолно; хостын галт хана эсвэл буцах замын талаар юу ч нотолохгүй.

Лабораторийн ердийн гарцад салбарын префикс рүү буцах зам хэрэгтэй, хэрэв загвар эх сурвалжийг санаатай орчуулахгүй бол, серверийн өөрийн галт хана зөвшөөрөгдсөн алсын хүрээг хүлээн авах ёстой. Аль нэгийг нь ч амжилттай туннель тохируулдаггүй. strongSwan дамжуулалтын тэмдэглэл нь тал бүр дээр ажиллах ёстой пакетийн замыг тайлбарладаг.

Дараа нь хориглосон очих газрыг ч шалгаарай. Нэг програмыг хэрэгтэй салбарын хэрэглэгчид гипервизорын консол хэрэггүй бөгөөд бодлого үнэн эсэхийг мэдэх цорын ганц арга бол түүнийг татгалзах ёстой зүйлийг яг шалгах явдал юм. Префиксүүд, шийдэгчээс хамаарал, шалгалтын үр дүнг тэмдэглээрэй, ингэснээр сайтуудын аль нэгний ирээдүйн өөрчлөлтийг ой санамжаас дахин бүтээхийн оронд хэдхэн минутад хянаж болно.