VPN dihalakan atau LAN dijambatani untuk pautan cawangan ke makmal

Terdapat dua cara untuk membuat cawangan mencapai makmal rumah, dan perbezaannya bukan satu tetapan. Anda boleh menghalakan antara awalan yang berbeza, supaya setiap tapak mengekalkan domain siarannya sendiri, atau menjambatani kedua-dua LAN menjadi satu, supaya siaran dan trafik penemuan berkelakuan seolah-olah semua orang berada di dalam bilik yang sama. Penghalakan ialah reka bentuk yang bertahan apabila bersentuhan dengan rangkaian sebenar. Penjambatanan ialah reka bentuk yang menjadikan minggu pertama mudah dan gangguan pertama menarik. Perbandingan di bawah membincangkan apa yang diberikan setiap satu dan berapa kosnya, kemudian cara menjadikan versi dihalakan boleh diuji.

Dua cara untuk bersambung, satu kompromi yang jelas

Pautan dihalakan menganggap makmal rumah sebagai rangkaian jauh dengan pengalamatan sendiri. Cawangan meminta awalan makmal, terowong membawa paket itu, dan get laluan makmal menjawab dari subnetnya sendiri. Tiada apa yang berubah pada jadual ARP cawangan, dan tiada apa dari skop DHCP makmal yang sampai ke cawangan.

Pautan dijambatani meluaskan satu domain lapisan 2 ke kedua-dua tapak. Protokol penemuan berfungsi, peranti muncul secara automatik, dan setiap siaran, setiap permintaan ARP dan setiap paket multicast kini menjadi calon untuk melintasi terowong, iaitu jumlah trafik besar yang dibawa protokol yang direka untuk segmen tempatan dan bukan untuk WAN dengan MTU berbeza dan masa pergi balik yang berubah-ubah.

Apa yang diberikan penghalakan

Faedah pertama ialah jejari kerosakan. Gelung, pelayan DHCP yang tidak diingini atau banjir siaran kekal di tapak yang menghasilkannya, kerana penghala tidak meneruskan siaran. Yang kedua ialah kejelasan pengalamatan: awalan cawangan dan awalan makmal berbeza, jadi destinasi paket memberitahu anda tapak mana yang patut menjawab, dan peraturan tembok api boleh berkata «cawangan ke subnet makmal» dan bukannya «dari mana-mana ke mana-mana».

Yang ketiga ialah ia sepadan dengan apa yang sebenarnya dibawa terowong. Dasar IPsec ialah sepasang awalan, dan laluan penghantaran di setiap sisi ialah penghalakan IP biasa dengan penghantaran dihidupkan pada get laluan:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Apa yang anda lepaskan ialah penemuan melalui siaran. Itu kerugian sebenar, dan ia harus diganti dengan sengaja dan bukannya dielakkan dengan menjambatani segala-galanya.

Kos penjambatanan

Penjambatanan mesti membawa bingkai lapisan 2 melalui terowong, yang bermaksud enkapsulasi seperti GRE atau VXLAN di atas IPsec dan bukannya terowong berasaskan dasar biasa. Sebaik sahaja itu wujud, kedua-dua tapak berkongsi satu domain kegagalan. Spanning tree melihat terowong sebagai pautan, trafik siaran memakan lebar jalur terowong, dan mana-mana peranti yang menganggap segmen berlaten rendah akan berkelakuan salah dengan cara yang sukar dikaitkan dari mana-mana hujung.

Ia juga membuang pemeriksaan pengalamatan yang memastikan anda jujur. Dengan satu awalan rata, alamat berganda bukan kesilapan penghalakan tetapi dua hos yang diam-diam mencuri trafik satu sama lain, dan awalan yang bertindih antara cawangan dan makmal adalah biasa dalam persediaan makmal rumah, jadi penjambatanan tidak menyelesaikan konflik itu; ia mengagihkannya.

Hujah keselamatan biasanya yang menentukan. Jambatan meluaskan segmen tempat protokol pautan tempatan beroperasi, jadi peranti di cawangan boleh bercakap dengan peranti makmal yang tidak pernah bertujuan boleh dicapai dari luar. Jika makmal mempunyai hypervisor, konsol storan dan antara muka pengurusan pada rangkaian rata yang sama, itu kini satu segmen bersama cawangan.

Nama tanpa siaran

Sebab orang menjambatani biasanya penemuan: pencetak, peranti media atau hos makmal yang tidak pernah muncul dalam senarai. Jawapan dihalakan ialah perkhidmatan nama. Terbitkan hos makmal dalam zon yang boleh dicapai oleh penyelesai cawangan, kemudian biarkan pengguna bersambung dengan nama dan bukannya mengimbas rangkaian. Itu lebih banyak kerja pada mulanya dan jauh lebih sedikit kerja pada setiap perubahan masa depan.

Penemuan multicast ialah kes yang lebih sukar, dan ia wajar mendapat ketepatan. Protokol seperti mDNS menggunakan multicast pautan tempatan, yang tidak dihantar oleh penghala secara lalai, jadi hos makmal yang tiada dalam senarai penemuan mungkin masih boleh dicapai pada alamatnya yang didokumenkan. Jika sesuatu perkhidmatan benar-benar memerlukan multicast, rancang protokol yang satu itu, dengan pemantul atau peraturan penghantaran bersasar, dan bukannya menjambatani seluruh LAN sebagai pembaikan umum.

Pemantul juga bukan kemenangan percuma. Ia mengimport trafik celoteh yang sama yang anda cuba elakkan, satu perkhidmatan pada satu masa, dan ia memerlukan pemilik yang akan menyedari apabila peranti mula mengiklankan lebih daripada sebelumnya. Pilih mengikut perkhidmatan, dan tuliskan sebabnya. Catat perkhidmatan mana yang memerlukannya dan apa yang diiklankannya, kerana kemas kini firmware boleh mengubah senarai itu tanpa memberitahu sesiapa.

Jadikan reka bentuk dihalakan boleh diuji

Pilih satu sasaran, contohnya antara muka web makmal pada subnet pelayannya sendiri, dan buktikannya dalam kedua-dua arah. Dari hos di cawangan, sahkan alamat dan perkhidmatan yang mendengar secara setempat, kemudian sambung melalui terowong dan ulangi. Terowong yang naik membuktikan get laluan bersetuju; tentang tembok api hos atau laluan balik ia tidak membuktikan apa-apa.

Get laluan biasa makmal memerlukan laluan balik ke awalan cawangan kecuali reka bentuk sengaja menterjemah sumber, dan tembok api pelayan itu sendiri mesti menerima julat jauh yang dibenarkan. Kedua-duanya tidak dikonfigurasi oleh terowong yang berjaya. Nota penghantaran strongSwan menerangkan laluan paket yang mesti berfungsi di setiap sisi.

Kemudian uji juga destinasi yang ditolak. Pengguna cawangan yang memerlukan satu aplikasi tidak memerlukan konsol hypervisor, dan satu-satunya cara untuk mengetahui dasar itu benar ialah mencuba perkara yang sepatutnya ditolaknya. Catat awalan, pergantungan pada penyelesai dan keputusan ujian, dan perubahan masa depan di mana-mana tapak boleh disemak dalam beberapa minit dan bukannya dibina semula daripada ingatan.