Dua LAN pada NetBird: peer mana yang menghala dan siapa boleh bercakap

Satu stesen kerja pada LAN barat membuka pelayar, menaip alamat aplikasi pada LAN timur dan menunggu sehingga tamat masa. Setiap skrin NetBird berkata peer bersambung, yang benar dan tidak berkaitan: berada dalam satu rangkaian tindan bukan sama dengan mempunyai dua subrangkaian tempatan dalam satu rangkaian. Laluan di bawah bermula di stesen kerja itu dan berakhir dengan permintaan yang ditolak oleh reka bentuk dengan sengaja, dan setiap perhentian ialah sesuatu yang dibaca daripada peranti, bukan diagak. Jangkakan bahagian yang hilang ialah laluan atau dasar, bukan tindan.

Baca kegagalan daripada stesen kerja dahulu

Sebelum membuka konsol pengurusan, tetapkan apa yang sebenarnya dihantar oleh stesen kerja. Jadual penghalaannya sendiri menentukan sama ada paket pergi ke get laluan tapak, antara muka tempatan atau ke mana-mana, dan keputusan itu kelihatan tanpa sebarang alat tindan. Mesin tanpa laluan untuk awalan jauh akan gagal betapa sihatnya senarai peer kelihatan. Julat tindan dan awalan tapak itu sendiri ialah ruang alamat berbeza, dan pendaftaran hanya mengkonfigurasi salah satu daripadanya.

Seterusnya asingkan penyelesaian nama daripada kebolehcapaian, kerana pelayar melaporkan kedua-duanya sebagai tamat masa yang sama. Ulang permintaan mengikut alamat daripada mesin yang menjalankan klien NetBird, kemudian daripada stesen kerja biasa yang tidak menjalankannya. Jika mesin berdaftar berjaya dan yang biasa gagal, jurangnya dalam penghalaan tempatan; jika kedua-duanya gagal, teruskan membaca sebelum menukar laluan.

Pilih satu peer penghalaan setiap tapak

Peer penghalaan ialah hos yang mewakili LAN-nya dalam tindan, jadi pilih mesin Linux dengan kebolehcapaian stabil ke subrangkaian dan bukannya stesen kerja meja seseorang. Daftarkannya melalui proses biasa dan letakkan dalam kumpulan yang dinamakan sempena peranan, kerana sumber rangkaian dan dasar kedua-duanya akan merujuk kumpulan itu. Satu wakil setiap tapak kekal mudah dibaca; sekumpulan sukarelawan yang mengiklankan awalan sama menjadikan setiap soalan kemudian sebagai sesi nyahpepijat. Alamat peer pada segmen tempatan sama pentingnya dengan identitinya dalam tindan, kerana alamat itu menjadi hop seterusnya yang diberitahu kepada setiap peranti biasa.

Tulis pelan sebelum menyentuh konsol, kerana nama dan awalan ialah tempat reka bentuk ini terpesong: awalan, get laluan, alamat peer dan kumpulan, setiap tapak. Barat ialah 10.52.0.0/24 yang dilayani 10.52.0.5 dan timur ialah 10.63.0.0/24 yang dilayani 10.63.0.5; dua kumpulan itu west-routers dan east-routers, dan tiada awalan boleh bertindih dengan yang lain, dengan julat tindan atau dengan destinasi berhalakan lain.

Cipta sumber, kekalkan penyamaran

Dalam papan pemuka yang digunakan, cipta satu sumber rangkaian setiap tapak dan lampirkan kumpulan peer penghalaan tapak itu kepadanya. Sumber ialah awalan dan kumpulan ialah hos yang menjawabnya, dan kedua-duanya mesti wujud sebelum apa-apa diiklankan. Sahkan bahawa versi hos kendiri yang digunakan mempunyai aliran kerja Rangkaian, kerana antara muka lama dengan objek laluan bernama serupa ialah ciri lain.

Biarkan penyamaran dihidupkan. Panduan NetBird tapak-ke-tapak memerlukannya dalam susunan ini, dan mematikannya untuk mengekalkan setiap alamat asal kelihatan bukan reka bentuk yang sama dengan satu hop kurang; ia mengubah apa yang dilihat oleh semakan sumber dan dasar tindan. Akibatnya wajar dinyatakan terus: perkhidmatan penerima merekodkan peer penghalaan sebagai sumber, bukan stesen kerja individu. Jika senarai dibenarkan atau audit perkhidmatan itu menjangka alamat stesen kerja, sama ada jangkaan berubah atau identiti mesti dikuatkuasakan di sempadan tapak sebelum terjemahan.

Benarkan pemula, bukan awalan

Laluan menjadikan alamat boleh dicapai dan dasar menentukan siapa boleh menggunakannya; kedua-duanya objek berasingan dengan pemilik berasingan. Tulis dasar itu dari beban kerja ke belakang: kumpulan mana memulakan, sumber mana disasarkan dan perkhidmatan TCP mana diperlukan. Rangkaian yang mengiklankan kedua-dua awalan kepada setiap peer berdaftar telah mencipta kebolehcapaian dan tidak menyelesaikan apa-apa.

Kemudian baca apa lagi yang sudah dibenarkan, kerana peraturan baru yang sempit tidak membatalkan peraturan lama yang luas di atasnya. Apabila timur juga mesti memulakan sambungan ke barat, tulis arah itu sebagai dasarnya sendiri; trafik balik untuk sesi yang dibuka barat ialah soalan berbeza daripada membenarkan sesi baru ke timur. Jika hanya beberapa stesen kerja barat patut mencapai aplikasi timur, pilih mereka di sempadan tapak sebelum terjemahan dan kekalkan pengesahan aplikasi itu sendiri. Peer penghalaan membawa trafik LAN sebagai seluruh tapak dan bukan sebagai identiti tindan setiap pengguna, jadi perakaunan setiap pengguna mesti datang dari tempat lain.

Ajarkan setiap get laluan hop seterusnya, kemudian uji penolakan

Peranti biasa tidak pernah melihat tindan, jadi get laluan mereka sendiri memerlukan laluan statik yang menghalakan awalan jauh ke alamat LAN peer penghalaan. Inilah langkah yang dilangkau orang, kerana semua yang kelihatan dalam NetBird sudah berfungsi sementara stesen kerja biasa masih tamat masa. Get laluan mengekalkan laluan lalainya seperti dahulu; awalan ini ialah tambahan, bukan pengganti.

Kedua-dua penerangan laluan tergolong dalam konfigurasi get laluan setiap tapak, bukan dalam tindihan pada hos. Kedua-duanya laluan statik biasa, dan tiada satu pun menyentuh laluan lalai:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Uji dengan aplikasi yang benar-benar diperlukan projek, daripada stesen kerja biasa, dan catat tiga perkara: hop seterusnya yang dipilih di sebelah penghantar, dasar yang sepadan dan alamat sumber yang direkodkan perkhidmatan. Uji juga penolakan, kerana reka bentuk yang tidak pernah menolak apa-apa mempunyai tepi tidak diketahui, dan penolakan ialah satu-satunya bukti bahawa dasar, bukan penghalaan, yang bekerja. Apabila timur juga mesti memulakan, mulakan sambungan baru dari sebelah itu dan bukannya menganggap arah kedua mengikut. Rancang juga mula semula, naik taraf dan penggantian peer penghalaan, kerana satu hos telah menjadi kebergantungan tapak.

Nama peribadi memerlukan reka bentuk penyelesai sendiri, kerana kebolehcapaian tidak mencipta rekod DNS dan laluan IP yang berfungsi dengan nama rosak dibaca tepat seperti laluan rosak. Jika peer penghalaan berjalan dalam rangkaian awan, semak juga peraturan penghantaran dan tembok api penyedia, kerana pendaftaran tidak mengatasinya. Simpan pemerhatian ujian di sebelah pelan, kerana orang seterusnya yang menyahpepijat ini akan mahukan dasar yang sepadan dan alamat sumber yang direkodkan, bukan penerangan topologi.