VPN сайтын өргөтгөл: гарцаас цааш буцах замыг дагаарай

Салбараас ирсэн урсгал нь таныг хүрэхийг шаардсан програмыг LAN-д агуулаагүй гарц дээр төгсдөг. Сервер нь хоёр дахь дата төвд, VPN хэзээ ч тохируулаагүй дотоод холбоосын цаана байрладаг. Ойрын гарц дээр дахин нэг префикс нэмэх нь тэр тохиолдолд юу ч хийхгүй, учир нь алсын гарц нь сүүлийн чиглүүлэгч биш, шифрлэлтийн төгсгөлийн цэг. Замд урагшлах маршрут, алсын аюулгүй байдлын хил дээр нэвтрүүлэх, очих газрын өөрийн сүлжээнд буцах шийдвэр хэрэгтэй.

Алсын гарц бол шифрлэлтийн төгсгөлийн цэг

Гарц хоорондын IPsec нь хоёр аюулгүй байдлын төхөөрөмжийн хоорондын урсгалыг хамгаалж, дотоод хаягууд тэр сегментээр шифрлэгдсэн байдлаар явдаг. Алсын гарцаас цааш энгийн чиглүүлэлт ажлыг авч, дата төвүүдийн хооронд байгаа аливаа бодлогыг оролцуулна. Тиймээс хамгаалагдсан сегмент аяллын нэг хэсгийг хамардаг, үлдсэнийг биш. Эсрэгээр таамаглах нь дизайн эрүүл туннель, хүрэх боломжгүй программтайгаар төгсөх зам юм.

Замыг гурван хэсэгт хуваан зур: салбараас ойрын гарц руу, ойрноос алсын гарц руу, алсын гарцаас программ руу. Хэсэг бүр өөрийн эзэн, өөрийн эвдрэлийн аргатай.

Туннелийн бодлогын хоёр чиглэлийг уншаарай

Туннелийн бодлогыг ихэвчлэн орон нутгийн талын өнцгөөс бичдэг бөгөөд хэсэгчилсэн тохиргоо яг энэ зуршлаас үүсдэг. Хоёр тал салбарын эх үүсвэр болон очих газрыг туннель дотор харагдах байдлаар нь жагсаах ёстой, дизайны зорьсон аливаа хөрвүүлэлтийг оролцуулан. Зөвхөн ойрын үзүүрийг шинэчлэх нь чиглүүлэлтийн алдаа мэт харагдах хоёр дахь фазын зөрүү үүсгэдэг. Аливаа маршрутад хүрэхээс өмнө хоёр бодлогын багцыг харьцуулаарай.

Эх үүсвэр, очих газрыг сайтын нэр биш хаяг хэлбэрээр бичээрэй. Эндхийн хоёрдмол байдал дараа нь ойлгомжгүй тэгш бус байдал болж эргэн ирдэг.

Урагшлах маршрутыг нэмж, нэвтрүүлэлтийг баталгаажуулаарай

Алсын гарцад програмын дэд сүлжээ рүү маршрут хэрэгтэй бөгөөд тэдний хоорондын чиглүүлэгч бүр салбарын эх үүсвэрийг нэвтрүүлэх ёстой. Диаграммын батласныг биш, алсын гарцад үнэхээр юу байгааг шалгаарай.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Эхний команд нь алсын гарц тэр эх үүсвэрт сонгох гарах интерфэйс болон дараагийн үсрэлтийг мэдээлдэг бөгөөд энэ нь энгийн чиглүүлэлтийн хүснэгт хариулж чадахгүй асуулт юм. Мөр нь пакетууд хаана зогсдогийг харуулж, алсын гарцын дараах тасалдал нь туннель биш дотоод дамжуулалтыг заана. Маршрут байгаа ч урсгал алга болсо, алсын гарц дээр бичлэг хийж ирж буй эх хаягийг уншаарай, учир нь санаандгүй хаяг нь хаа нэгтээ төлөвлөөгүй хөрвүүлэлт хийгдэж байгааг илтгэнэ. Эндхийн бүх хаяг орлуулагч тул бодит салбар, дамжуулалт, програмын дэд сүлжээг тавь.

Салбараас туршаад, дараа нь хуучин замыг дахин туршаарай

Хүлээн авалтад алсын гарцаас хийсэн шалгалт биш бодит эх үүсвэр хэрэгтэй. Шалгалтыг салбарын хост дээрээс ажиллуулж, өмнө ажиллаж байсан очих газруудыг мөн адил туршилтад үлдээгээрэй.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Програмын хариулт нь урагшлах зам ба буцах замыг хамт нотолж, хуучин очих газар руу ping нь өөрчлөлт өмнө ажиллаж байсныг эвдээгүйг нотолно. Програмын бүртгэдэг эх хаягийг авч, түүний нэвтрэх дүрэм болон аливаа буцах маршрут тэр утгатай нийцэх ёстой. Салбар туннелийн өмнө хөрвүүлдэг газарт бодлогын хаяг болон програмын хардаг хаяг дизайнаар ялгаатай тул хоёуланг нь тэмдэглээрэй. Түлхүүр шинэчлэл эсвэл чиглүүлэлтийн өөрчлөлтийн дараа туршилтыг давтаарай, учир нь эдгээр зам ихэвчлэн нэг удаа шалгагдаад дараа нь мартагддаг.

Гурван сегментийн нэг бүрд болон очих газрын сүлжээний доторх буцах маршрутад эзэн томилоорой. Дөрвөн эзэнтэй зам тэдний хоорондын завсарт бүтэлгүйтдэг.