VPN bir-rotta jew LAN bil-pont għal konnessjoni bejn fergħa u laboratorju

Hemm żewġ modi kif fergħa tilħaq laboratorju tad-dar, u d-differenza mhijiex setting. Tista' tirrotta bejn prefissi distinti, sabiex kull sit iżomm id-dominju tax-xandir tiegħu, jew tista' tagħmel pont bejn iż-żewġ LANs f'wieħed, sabiex ix-xandiriet u t-traffiku tal-iskoperta jġibu ruħhom bħallikieku kulħadd kien fl-istess kamra. Ir-routing huwa d-disinn li jgħaddi mill-kuntatt ma' netwerk reali. Il-pont huwa d-disinn li jagħmel l-ewwel ġimgħa faċli u l-ewwel waqfien interessanti. Il-paragun hawn taħt huwa dwar x'jagħti kull wieħed u kemm jiswa, segwit minn kif tagħmel il-verżjoni rrotta testabbli.

Żewġ modi kif tikkonnettja, kompromess wieħed ovvju

Konnessjoni rrotta tittratta l-laboratorju tad-dar bħala netwerk remot bl-indirizzar tiegħu stess. Il-fergħa titlob il-prefiss tal-laboratorju, il-mina ġġorr dawk il-pakketti, u l-gateway tal-laboratorju jwieġeb mis-subnet tiegħu stess. Xejn mit-tabella ARP tal-fergħa ma jinbidel, u xejn mill-firxa DHCP tal-laboratorju ma jasal għall-fergħa.

Konnessjoni bil-pont testendi dominju wieħed tas-saff 2 fuq iż-żewġ siti. Il-protokolli tal-iskoperta jaħdmu, l-apparati jidhru awtomatikament, u kull xandira, kull talba ARP u kull pakkett multicast issa huwa kandidat biex jaqsam il-mina, jiġifieri ammont kbir ta' traffiku miġbur minn protokolli maħsuba għal segment lokali u mhux għal WAN b'MTU differenti u ħin ta' dawran varjabbli.

X'jagħtik ir-routing

L-ewwel vantaġġ huwa r-raġġ tad-dannu. Loop, server DHCP mhux mixtieq jew għargħar ta' xandiriet jibqa' fis-sit li pproduċieh, għax router ma jgħaddix xandiriet. It-tieni huwa ċ-ċarezza tal-indirizzar: il-prefiss tal-fergħa u dak tal-laboratorju huma distinti, allura d-destinazzjoni ta' pakkett tgħidlek liema sit għandu jwieġeb, u regola tal-firewall tista' tgħid «fergħa għal subnet tal-laboratorju» minflok «kullimkien għal kullimkien».

It-tielet huwa li jaqbel ma' dak li l-mina fil-fatt ġġorr. Politika IPsec hija par prefissi, u t-triq tal-indirizzar mill-ġdid fuq kull naħa hija routing IP ordinarju b'forwarding attivat fuq il-gateway:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Dak li ċċedi huwa l-iskoperta bix-xandir. Dan huwa telf reali, u għandu jiġi sostitwit b'mod deliberat minflok ma jiġi evitat billi tagħmel pont ta' kollox.

X'jiswa l-pont

Il-pont irid iġorr frejms tas-saff 2 fuq mina, li jfisser inkapsulament bħal GRE jew VXLAN fuq IPsec minflok mina sempliċi bbażata fuq il-politika. Ladarba dan jeżisti, iż-żewġ siti jaqsmu dominju ta' falliment. Spanning tree jara l-mina bħala konnessjoni, it-traffiku tax-xandir jikkonsma l-bandwidth tal-mina, u kull apparat li jassumi segment b'latency baxx iġib ruħu ħażin b'modijiet diffiċli biex jiġu attribwiti minn kwalunkwe tarf.

Jneħħi wkoll il-verifika tal-indirizzar li żżommok onest. B'prefiss wieħed ċatt, indirizz duplikat mhuwiex żball ta' routing iżda żewġ hosts li jisirqu t-traffiku ta' xulxin bil-kwiet, u prefissi li jaqsmu bejn fergħa u laboratorju huma komuni f'montaturi ta' laboratorju tad-dar, allura l-pont ma jsolvix dak il-konflitt; iqassmu.

L-argument tas-sigurtà huwa dak li normalment jiddeċiedi. Pont jestendi s-segment li fuqu joperaw il-protokolli link-local, allura apparat fil-fergħa jista' jkellem apparati tal-laboratorju li qatt ma kellhom ikunu aċċessibbli minn barra. Jekk il-laboratorju għandu hypervisor, console tal-ħażna u interface tal-amministrazzjoni fuq l-istess netwerk ċatt, issa dan huwa segment wieħed flimkien mal-fergħa.

Ismijiet mingħajr xandir

Ir-raġuni li n-nies jagħmlu pont hija normalment l-iskoperta: printer, apparat tal-media jew host tal-laboratorju li qatt ma jidher f'lista. It-tweġiba rrotta hija servizz tal-ismijiet. Ippubblika l-hosts tal-laboratorju f'żona li r-resolver tal-fergħa jista' jilħaq, imbagħad ħalli l-utenti jikkonnettjaw bl-isem minflok ma jiskennjaw in-netwerk. Dan huwa iktar xogħol fil-bidu u ferm inqas xogħol f'kull bidla fil-futur.

L-iskoperta multicast hija l-każ ieħor iebes, u tistħoqqlha preċiżjoni. Protokolli bħal mDNS jużaw multicast link-local, li r-routers ma jgħaddux b'mod awtomatiku, allura host tal-laboratorju li jkun nieqes minn lista tal-iskoperta jista' jibqa' aċċessibbli fl-indirizz dokumentat tiegħu. Jekk servizz speċifiku tassew jeħtieġ multicast, ippjana dak il-protokoll wieħed, b'reflector jew regola ta' forwarding immirata, minflok ma tagħmel pont tal-LAN kollu bħala tiswija ġenerali.

Anki reflector mhuwiex rebħa b'xejn. Jimporta l-istess traffiku paċpaċi li kont qed tipprova tevita, servizz wieħed wara l-ieħor, u jeħtieġ sid li jinduna meta apparat jibda jħabbar iktar minn qabel. Agħżlu servizz b'servizz, u ikteb għaliex. Innota liema servizz kellu bżonnu u x'jħabbar, għax aġġornament tal-firmware jista' jbiddel dik il-lista mingħajr ma jgħid lil ħadd.

Agħmel il-proġett rrotta testabbli

Agħżel mira waħda, pereżempju interface web tal-laboratorju fuq subnet tal-server tiegħu stess, u ppruvaha fiż-żewġ direzzjonijiet. Minn host fil-fergħa, ikkonferma l-indirizz u s-servizz li qed jisma' lokalment, imbagħad ikkonnettja mill-mina u erġa' agħmel. Mina li hija 'l fuq turi li l-gateways jaqblu; ma turi xejn dwar il-firewall tal-host jew it-triq tar-ritorn.

Il-gateway normali tal-laboratorju jeħtieġ rotta lura lejn il-prefiss tal-fergħa sakemm id-disinn ma jittraduċix is-sors b'mod deliberat, u l-firewall tas-server innifsu irid jaċċetta l-firxa remota permessa. L-ebda waħda minnhom mhi kkonfigurata minn mina li taħdem. In-noti tal-forwarding ta' strongSwan jiddeskrivu t-triq tal-pakketti li trid taħdem fuq kull naħa.

Imbagħad ipprova wkoll destinazzjoni miċħuda. Utent tal-fergħa li jeħtieġ applikazzjoni waħda mhuwiex jeħtieġ il-console tal-hypervisor, u l-uniku mod kif tkun taf li l-politika hija vera huwa li tipprova eżattament dak li għandha tirrifjuta. Innota l-prefissi, id-dipendenza fuq ir-resolver u r-riżultati tat-testijiet, u bidla fil-futur f'waħda miż-żewġ siti tista' tiġi riveduta fi ftit minuti minflok ma tiġi mibnija mill-ġdid mill-memorja.