Bintang atau jaringan penuh: topologi VPN mana yang sesuai dengan lokasi anda

Dua pejabat cawangan bercakap antara satu sama lain sepanjang hari, dan terowong antara mereka memutar melalui pusat data di wilayah lain. Setiap permintaan membayar untuk lencongan itu dua kali, dan tiada siapa perasan sehingga penyegerakan fail mula terasa salah. Di situlah soalan topologi benar-benar bermula: bukan dengan rajah mana yang kelihatan lebih tahan lasak, tetapi dengan corak trafik mana yang anda bayar. Kedua-dua reka bentuk berfungsi, dan kedua-duanya gagal dengan cara dan kos yang berbeza.

Kira hubungan rakan sebaya dahulu

Dengan N lokasi, jaringan penuh memerlukan N kali N tolak satu, dibahagi dua, terowong; hab memerlukan N. Pada lima lokasi itu sepuluh lawan lima, yang masih kedengaran terurus. Pada lima belas itu 105 lawan lima belas, dan perbezaannya bukan lagi aritmetik tetapi kakitangan.

Setiap hubungan itu membawa keadaan yang perlu anda miliki. Dalam IPsec itu bermakna persatuan keselamatan, identiti, kunci atau sijil, pengesanan rakan mati dan sekurang-kurangnya satu laluan bagi setiap awalan jauh. Dalam WireGuard ia bermakna kunci awam dan blok AllowedIPs bagi setiap rakan; lebih murah setiap rakan tetapi tanpa sebarang penemuan: lokasi baharu tetap bermakna perubahan konfigurasi pada setiap yang sedia ada.

Biarkan campuran trafik menentukan, bukan lukisan

Jika trafik cawangan kebanyakannya permintaan ke ERP pusat atau kelompok fail, hab bukan kompromi tetapi bentuk yang betul: trafik memang sudah mahu ke sana, dan satu titik dasar lebih mudah diaudit daripada jaringan peraturan berpasangan. Jaringan penuh berbaloi dengan kerumitannya apabila cawangan bertukar data sesama sendiri: replikasi antara dua pejabat, suara antara lokasi, kongsi CAD yang dibuka sedozen jurutera sepanjang hari.

Kes janggal terletak di tengah-tengah, dan itulah majoriti. Ukur sebelum berhujah daripada meneka daripada carta organisasi.

Baca jadual sebagai penentu, bukan peraturan. Tiga daripada empat baris ke satu arah biasanya menyelesaikan reka bentuk, dan perpecahan bermakna hibrid, iaitu apa yang kebanyakan rangkaian matang akhirnya jalankan.

Hab perlu diberitahu supaya memajukan

Dua terowong cawangan-ke-hab yang berfungsi tidak mencipta akses antara cawangan. Hab memerlukan pemajuan IP dihidupkan, laluan ke setiap rangkaian cawangan, peraturan tembok api yang membenarkan transit dan laluan balik yang dikira; setiap cawangan memerlukan laluan ke awalan lokasi lain. Pada hab Linux itu net.ipv4.ip_forward=1 tambah rantai FORWARD yang tidak membuang pasangan secara senyap, dan dalam IPsec berasaskan dasar ia adalah pemilih trafik yang menyenaraikan subnet cawangan jauh pada kedua-dua hujung. strongSwan nota pemajuan merangkumi bahagian kernel dan tembok api apabila itulah lapisan yang anda kurang. Ujian murah: hantar trafik dari satu cawangan ke perkhidmatan di cawangan lain sambil memerhati pembilang hab; peraturan yang tidak pernah meningkat bermakna urutannya salah, bukan laluannya.

Dasar pusat juga bahagian yang berguna. Cawangan boleh dibenarkan mencapai perkhidmatan kongsi tanpa mencapai satu sama lain, dan matriks akses itu wajar ditulis dengan jelas. Laluan yang hilang adalah pengganti buruk kepada peraturan yang boleh dibaca seseorang.

Awas versi separuh siap: cawangan A menuju cawangan B melalui hab, hab menuju kedua-dua arah, dan tembok api hab membenarkan sambungan baharu dari A tetapi tidak dari B. Arah pertama diuji dengan baik dan yang kedua tergantung, yang kelihatan seperti kerosakan penghalaan tetapi bukan.

Reka kegagalan dahulu, kemudian laluan biasa

Satu hab ialah kebergantungan dikongsi dan kesesakan transit, dan lebihan ialah tempat reka bentuk hab biasanya silap. Dua hab bermakna setiap cawangan memegang dua terowong, dan laluan balik mesti sepadan dengan yang keluar; apabila tidak sepadan, tembok api berkeadaan membuang balasan dan gejalanya ialah sambungan yang terbuka kemudian mati. Penempatan lebih besar menyelesaikannya dengan protokol penghalaan di atas terowong dan bukan awalan statik, yang lebih banyak jentera tetapi menghapuskan tekaan. Apa pun pilihan anda, tulis laluan balik di sebelah yang keluar, kerana separuh balik itulah yang tiada siapa uji.

Jaringan penuh menyebarkan risiko itu: pautan satu lokasi yang jatuh tidak mengasingkan yang lain. Ia juga menggandakan tempat pemilihan laluan boleh mengejutkan anda, dan sesi aplikasi masih tidak bertahan melalui perubahan laluan tanpa bantuan.

Tiada reka bentuk yang mengekalkan sesi TCP hidup melalui pemindahan dengan sendirinya. Jika aplikasi tidak boleh menyambung semula, topologi bukan masalah anda.

Pilih mengikut kos perubahan, kemudian sahkan laluan

Mulakan dengan hab, kerana itu perkara yang lebih murah untuk disalahkan, dan tambah terowong terus untuk pasangan yang trafiknya membenarkannya. Hibrid itu bukan kegagalan untuk membuat keputusan; ia adalah reka bentuk yang kebanyakan organisasi tuju dalam setahun. Yang penting ialah setiap pautan terus mempunyai sebab yang dinyatakan dan pemilik.

Kemudian sahkan dua lukisan dan bukan satu. Untuk laluan biasa, jalankan traceroute dari setiap lokasi ke setiap awalan perkhidmatan dan pastikan hop sepadan dengan rajah. Untuk laluan kegagalan, tutup satu terowong dan ulangi, kerana laluan yang hanya berfungsi selagi semuanya hidup belum direka, hanya dikonfigurasikan.

Simpan kedua-dua lukisan bersama matriks akses, dan tinjau semula apabila lokasi ditambah; kos yang anda uruskan ialah kos perubahan seterusnya, bukan keanggunan gambar sekarang.