Stilla jew xibka sħiħa: liema topoloġija VPN taqbel mal-postijiet tiegħek
Żewġ tunnels li jaħdmu mhumiex topoloġija. Qabel tagħżel ċentru, xibka sħiħa jew ċentru b'xi konnessjonijiet diretti, qabbel it-transitu, l-imġiba waqt il-ħsara u l-ispiża tal-bidla.
Żewġ uffiċċji tal-fergħa jitkellmu ma' xulxin il-jum kollu, u t-tunnel bejniethom idur minn data center f'reġjun ieħor. Kull talba tħallas għal dak id-dawran darbtejn, u ħadd ma jinduna sakemm is-sinkronizzazzjoni tal-fajls tibda tidher ħażina. Hawn tassew tibda l-mistoqsija tat-topoloġija: mhux b'liema dijagramma tidher aktar reżiljenti, imma b'liema mudell ta' traffiku qed tħallas. Iż-żewġ disinji jaħdmu, u t-tnejn ifallu b'modi differenti b'ispejjeż differenti.
L-ewwel għodd ir-relazzjonijiet bejn il-pari
B'N postijiet, xibka sħiħa teħtieġ N darbiet N nieqes wieħed, diviż b'żewġ, tunnels; ċentru jeħtieġ N. F'ħames postijiet dan huwa għaxra kontra ħamsa, li għadu jidher tmexxi. Fil-ħmistax huwa 105 kontra ħmistax, u d-differenza m'għadhiex aritmetika iżda ta' persunal.
Kull waħda minn dawk ir-relazzjonijiet iġġorr stat li trid tieħu ħsiebu. Fl-IPsec dan ifisser assoċjazzjoni ta' sigurtà, identità, ċavetta jew ċertifikat, skoperta tal-peer mejjet u mill-inqas rotta waħda għal kull prefiss remot. Fil-WireGuard ifisser ċavetta pubblika u blokka AllowedIPs għal kull peer; orħos għal kull peer iżda mingħajr ebda skoperta: post ġdid xorta jfisser bidla fil-konfigurazzjoni fuq kull wieħed eżistenti.
Ħalli t-taħlita tat-traffiku tiddeċiedi, mhux it-tpinġija
Jekk it-traffiku tal-fergħa huwa l-aktar talbiet lejn ERP ċentrali jew cluster tal-fajls, iċ-ċentru mhuwiex kompromess imma l-forma t-tajba: it-traffiku diġà ried imur hemm, u punt wieħed ta' politika huwa eħfef biex jiġi awditjat minn xibka ta' regoli b'pari. Ix-xibka sħiħa tistħoqq il-kumplessità tagħha meta l-fergħat jagħmlu skambju ta' data bejniethom: replikazzjoni bejn żewġ uffiċċji, vuċi bejn postijiet, sehem CAD li tnax-il inġinier jiftħu l-jum kollu.
Il-każijiet skomdi jinsabu fin-nofs, u huma l-maġġoranza. Kejjel qabel ma targumenta minflok ma taqta' minn organigramma.
| Signal | Points to a hub | Points to a mesh |
|---|---|---|
| Branch-to-branch traffic | Occasional, small | Dominant, all day |
| Site count | Growing, past ten | Small and stable |
| Change rate | Frequent adds and moves | Rare |
| Failure tolerance | A second hub is affordable | Every site must survive alone |
Aqra t-tabella bħala deċiżur, mhux bħala regola. Tlieta minn erba' ringieli lejn naħa waħda normalment jiddeċiedu d-disinn, u qasma tfisser ibridu, li huwa dak li l-biċċa l-kbira tan-netwerks maturi jispiċċaw iħaddmu.
Iċ-ċentru jrid jingħadlu biex jgħaddi
Żewġ tunnels li jaħdmu bejn il-fergħa u ċ-ċentru ma joħolqux aċċess bejn il-fergħat. Iċ-ċentru jeħtieġ l-għaddi tal-IP mixgħul, rotta lejn kull netwerk tal-fergħa, regola tal-firewall li tippermetti t-transitu u l-passaġġ lura kkalkulat; kull fergħa teħtieġ rotta lejn il-prefissi tal-post l-ieħor. Fuq ċentru Linux dan huwa net.ipv4.ip_forward=1 flimkien ma' katina FORWARD li ma tarmix il-par bil-kwiet, u fl-IPsec ibbażat fuq politika huma seletturi tat-traffiku li jelenkaw is-subnet tal-fergħa remota fiż-żewġ trufijiet. strongSwan noti dwar l-għaddi ikopru n-naħa tal-kernel u tal-firewall meta dik hija s-saff li qed tonqoslek. Test irħis huwa li tibgħat traffiku minn fergħa għal servizz fuq l-oħra waqt li tara l-kontaturi taċ-ċentru; regola li qatt ma tiżdied tfisser li l-ordni hija ħażina, mhux ir-rotta.
Il-politika ċentrali hija wkoll il-parti utli. Il-fergħat jistgħu jitħallew jilħqu servizzi maqsuma mingħajr ma jilħqu lil xulxin, u dik il-matriċi tal-aċċess tiswa li tinkiteb b'mod espliċitu. Rotot neqsin huma sostitut fqir għal regola li xi ħadd jista' jaqra.
Oqgħod attent għall-verżjoni nofsa: il-fergħa A tħaddi lejn il-fergħa B permezz taċ-ċentru, iċ-ċentru jħaddi fiż-żewġ direzzjonijiet, u l-firewall taċ-ċentru jippermetti konnessjonijiet ġodda mill-A imma mhux mill-B. L-ewwel direzzjoni tittestja tajjeb u t-tieni tiddendel, li tidher bħala ħsara fir-routing u mhijiex.
Iddisinja l-ħsara l-ewwel, imbagħad il-passaġġ normali
Ċentru wieħed huwa dipendenza maqsuma u għonq il-bott tat-transitu, u r-redundanza hija fejn id-disinji taċ-ċentru normalment jiżbaljaw. Żewġ ċentri jfissru li kull fergħa żżomm żewġ tunnels, u l-passaġġ lura jrid jaqbel ma' dak li joħroġ; meta ma jaqbilx, firewall b'stat jarmi t-tweġibiet u s-sintomu huwa konnessjoni li tiftaħ u mbagħad tmut. Skjeramenti akbar isolvu dan b'protokoll tar-routing fuq it-tunnels minflok prefissi statiċi, li huwa aktar makkinarju imma jneħħi l-istima. X'tagħżel, ikteb il-passaġġ lura ħdejn dak li joħroġ, għax in-nofs lura huwa dak li ħadd ma jittestja.
Ix-xibka sħiħa xxerred dak ir-riskju: il-paċut ta' konnessjoni ta' post ma jiżolax l-oħrajn. Iżda tkompli tħawwad il-postijiet fejn l-għażla tal-passaġġ tista' tissorprendik, u s-sessjonijiet tal-applikazzjoni xorta ma jibqgħux ħajjin għal bidla fil-passaġġ mingħajr għajnuna.
L-ebda disinn ma jżomm sessjoni TCP ħajja waqt failover waħdu. Jekk l-applikazzjoni ma tistax terġa' tqabbad, it-topoloġija mhix il-problema tiegħek.
Agħżel skont l-ispiża tal-bidla, imbagħad ivverifika r-rotot
Ibda biċ-ċentru, għax hija l-ħaġa orħos li tkun żbaljat dwarha, u żid tunnels diretti għall-pari li t-traffiku tagħhom jiġġustifika dan. Dak l-ibridu mhuwiex falliment biex tiddeċiedi; huwa d-disinn li l-biċċa l-kbira tal-organizzazzjonijiet jilħqu fi żmien sena. Li jimporta hu li kull konnessjoni diretta jkollha raġuni ddikjarata u sid.
Imbagħad ivverifika żewġ tpinġijiet minflok waħda. Għall-passaġġ normali, ħaddem traceroute minn kull post għal kull prefiss ta' servizz u kkonferma li l-hops jaqblu mad-dijagramma. Għall-passaġġ tal-ħsara, agħlaq tunnel wieħed u erġa' għamilha, għax rotta li taħdem biss sakemm kollox qed jaħdem ma ġietx iddisinjata, biss ikkonfigurata.
Żomm iż-żewġ tpinġijiet mal-matriċi tal-aċċess, u erġa' arahom meta jiżdied post; l-ispiża li qed tamministra hija l-ispiża tal-bidla li jmiss, mhux l-eleganza tal-istampa attwali.