Estensjoni tas-sit VPN: segwi r-rotta tar-ritorn lil hinn mill-gateway

It-traffiku minn fergħa jispiċċa fuq gateway li l-LAN tiegħu ma fihx l-applikazzjoni li ntalabt tilħaq. Is-server jinsab fit-tieni ċentru tad-data, lil hinn minn rabta interna li l-VPN qatt ma kkonfigurat. Iż-żieda ta’ prefiss ieħor mal-gateway qrib ma tagħmel xejn għal dak il-każ, għax il-gateway ’l bogħod huwa punt finali tal-encryption u mhux l-aħħar router. It-triq teħtieġ rotta ’l quddiem, ammissjoni fil-fruntiera tas-sigurtà ’l bogħod u deċiżjoni tar-ritorn fin-netwerk tad-destinazzjoni stess.

Il-gateway ’l bogħod huwa punt finali tal-encryption

L-IPsec bejn gateway u gateway jipproteġi t-traffiku bejn żewġ apparati tas-sigurtà, u l-indirizzi interni jivvjaġġaw minn dak is-segment encrypted. Lil hinn mill-gateway ’l bogħod, jieħu f’idejh ir-routing ordinarju, inkluża kwalunkwe politika li teżisti bejn iċ-ċentri tad-data. Is-segment protett għalhekk ikopri parti mill-vjaġġ u mhux il-bqija. Li wieħed jassumi mod ieħor huwa kif disinn jispiċċa b’mina sana u applikazzjoni li ma tintlaħaqx.

Pinġi t-triq fi tliet biċċiet: fergħa għall-gateway qrib, qrib għall-gateway ’l bogħod, gateway ’l bogħod għall-applikazzjoni. Kull biċċa għandha sidha u l-mod tagħha ta’ falliment.

Aqra ż-żewġ direzzjonijiet tal-politika tal-mina

Politika tal-mina normalment tinkiteb mill-perspettiva tal-ġenb lokali, u minn din id-drawwa jiġu l-konfigurazzjonijiet parzjali. Iż-żewġ pari għandhom jelenkaw is-sors tal-fergħa u d-destinazzjoni kif se jidhru ġewwa l-mina, inkluża kwalunkwe traduzzjoni li d-disinn beħsiebu. L-aġġornament tal-ġenb qrib biss jipproduċi nuqqas ta’ qbil tat-tieni fażi li jidher bħal falliment tar-routing. Qabbel iż-żewġ settijiet ta’ politika qabel ma tmiss ebda rotta.

Ikteb is-sors u d-destinazzjoni bħala indirizzi u mhux bħala ismijiet tas-sit. L-ambigwità hawn terga’ tidher aktar tard bħala asimetrija li tħawwad.

Żid ir-rotta ’l quddiem u kkonferma l-ammissjoni

Il-gateway ’l bogħod jeħtieġ rotta lejn is-subnet tal-applikazzjoni, u kull router bejniethom irid jammetti s-sors tal-fergħa. Ivverifika x’għandu l-gateway ’l bogħod fil-verità minflok dak li tgħid id-dijagramma.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

L-ewwel kmand jirrapporta l-interface tal-ħruġ u l-hop li jmiss li l-gateway ’l bogħod jagħżel għal dak is-sors, mistoqsija li tabella tar-routing ordinarja ma tistax twieġeb. It-tratt traċċa juri fejn jieqfu l-pakketti, u waqfa wara l-gateway ’l bogħod tindika transitu intern u mhux il-mina. Meta r-rotta teżisti u t-traffiku xorta jisparixxi, aqbad fuq il-gateway ’l bogħod u aqra l-indirizz tas-sors li jasal, għax indirizz mhux mistenni jfisser li traduzzjoni qed issir f’xi post mhux ippjanat. L-indirizzi kollha hawn huma placeholder, għalhekk ibdel is-subnets veri tal-fergħa, tat-transitu u tal-applikazzjoni.

Ittestja mill-fergħa, imbagħad erġa’ ittestja t-triq il-qadima

L-approvazzjoni teħtieġ sors veru u mhux sonda mill-gateway ’l bogħod. Mexxi l-verifika minn host tal-fergħa u żomm id-destinazzjonijiet li kienu jaħdmu qabel fl-istess test.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Tweġiba mill-applikazzjoni tipprova t-triq ’il quddiem u t-triq tar-ritorn flimkien, filwaqt li l-ping lejn id-destinazzjoni l-qadima jipprova li l-bidla ma kisritx dak li kien diġà jaħdem. Aqbad l-indirizz tas-sors li tirreġistra l-applikazzjoni, għax ir-regoli tal-aċċess tagħha u kwalunkwe rotta tar-ritorn iridu jaqblu ma’ dak il-valur. Fejn il-fergħa tittraduċi qabel il-mina, l-indirizz tal-politika u l-indirizz li tara l-applikazzjoni jvarjaw skont id-disinn, għalhekk irreġistra t-tnejn. Erġa’ agħmel it-test wara tiġdid taċ-ċavetta jew bidla fir-routing, għax dawn it-toroq għandhom tendenza jiġu vvalidati darba u mbagħad jintesew.

Assenja sid lil kull wieħed mit-tliet segmenti u lir-rotta tar-ritorn ġewwa n-netwerk tad-destinazzjoni. Triq b’erba’ sidien tfalli fil-vojt bejniethom.