د برانچ او لابراتوار ترمنځ د اړیکې لپاره روټ شوی VPN یا برج شوی LAN

د برانچ د کورني لابراتوار ته رسېدو دوه لارې شته او توپیر په یوه تنظیم کې نه دی۔ تاسو کولای شئ د جلا مخکښونو ترمنځ روټ وکړئ، ترڅو هر سایټ خپل خپرونیز ډومین وساتي، یا دوه LAN په یو کې برج کړئ، ترڅو خپرونې او د کشف ترافیک داسې چلند وکړي لکه څنګه چې ټول په یوه خونه کې وي۔ روټینګ هغه ډیزاین دی چې د ریښتیني شبکې سره په تماس کې پاتې کېږي۔ برج کول هغه ډیزاین دی چې لومړۍ اونۍ اسانه او لومړنی خنډ په زړه پورې کوي۔ لاندې پرتله د دې په اړه ده چې هر یو څه درکوي او څه لګښت لري، او بیا د دې په اړه چې روټ شوې بڼه څنګه د ازموینې وړ کړو۔

د نښلولو دوه لارې، یوه روښانه معامله

روټ شوې اړیکه کورني لابراتوار ته د خپل پتې کولو سره لرې شبکه ګڼي۔ برانچ د لابراتوار مخکښ غواړي، ټونل هغه پیکټونه وړي، او د لابراتوار دروازه د خپلې فرعي شبکې څخه ځواب ورکوي۔ د برانچ په ARP جدول کې هېڅ نه بدلېږي، او د لابراتوار د DHCP له ساحې څخه هېڅ برانچ ته نه رسېږي۔

برج شوې اړیکه یو د لایې 2 ډومین په دواړو سایټونو کې غځوي۔ د کشف پروتوکولونه کار کوي، وسیلې په اتوماتيک ډول څرګندېږي، او هر خپرون، هر ARP غوښتنلیک او هر multicast پیکټ اوس د ټونل د تېرېدو نوماند دی، یعنې لویه اندازه ترافیک چې د سیمه ییز سیګمنټ لپاره جوړ شوو پروتوکولونو لخوا وړل کېږي نه د هغه WAN لپاره چې بل MTU او بدلېدونکی تګ راتګ وخت لري۔

روټینګ تاسو ته څه درکوي

لومړی ګټه د زیان دايره ده۔ یوه لوپ، ناغوښتل شوی DHCP سرور یا د خپرونو سیلاب په هغه سایټ کې پاتې کېږي چې هغه یې تولید کړی، ځکه روټر خپرونې نه لېږدوي۔ دویمه د پتې کولو روښانتیا ده: د برانچ مخکښ او د لابراتوار مخکښ جلا دي، نو د پیکټ منزل تاسو ته وایي کوم سایټ باید ځواب ووایي، او د فایر وال قاعده کولای شي «له برانچ څخه لابراتوار فرعي شبکې ته» ووایي نه «له هر ځایه هر ځای ته»۔

درېیمه دا ده چې د هغه څه سره سمون لري چې ټونل واقعاً وړي۔ د IPsec پالیسي د مخکښونو جوړه ده، او په هر اړخ کې د لېږد لار په دروازه کې د لېږد فعال سره عادي IP روټینګ دی:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

هغه څه چې تاسو ترې تېریږئ د خپرون له لارې کشف دی۔ دا ریښتینی زیان دی او باید په قصد بدل شي نه دا چې هر څه برج کړو او ترې تېر شو۔

برج کول څه لګښت لري

برج کول باید د لایې 2 چوکاټونه د ټونل له لارې ووړي، چې معنا یې د ساده پالیسي پر بنسټ ټونل پرځای د IPsec پر سر GRE یا VXLAN په څېر انکپسولیشن دی۔ کله چې دا شتون ولري، دوه سایټونه یو د ناکامۍ ډومین شریکوي۔ Spanning tree ټونل د یوې اړیکې په توګه ویني، خپرونیز ترافیک د ټونل پټه مصرفوي، او هر هغه وسیله چې لږ ځنډ لرونکی سیګمنټ فرض کوي په داسې لارو غلط چلند کوي چې له هرې څنډې یې نسبت کول سخت دي۔

دا هغه د پتې کولو کتنه هم لرې کوي چې تاسو صادق ساتي۔ د یوې هوارې مخکښ سره، تکراري پته د روټینګ تېروتنه نه ده بلکې دوه کوربه دي چې په خاموشۍ سره د یو بل ترافیک غلا کوي، او د برانچ او لابراتوار ترمنځ یو پر بل پوښل شوي مخکښونه په کورني لابراتوار ترتیباتو کې عام دي، نو برج کول هغه شخړه نه حل کوي؛ هغه یې وېشي۔

معمولاً د امنیت استدلال فیصله کوي۔ برج هغه سیګمنټ غځوي چې پر هغه د سیمه ییزې اړیکې پروتوکولونه کار کوي، نو په برانچ کې یوه وسیله کولای شي د لابراتوار له هغو وسیلو سره خبرې وکړي چې هېڅکله نه وو باید له بهر څخه د لاسرسي وړ وي۔ که لابراتوار په همدې هواره شبکه کې hypervisor، د زېرمې کنسول او د مدیریت انټرفېس ولري، دا اوس د برانچ سره یو سیګمنټ دی۔

پرته له خپرون څخه نومونه

د خلکو د برج کولو لامل معمولاً کشف دی: یو چاپېر، د رسنیو وسیله یا د لابراتوار کوربه چې هېڅکله په لیست کې نه ښکاري۔ روټ شوی ځواب د نومونو خدمت دی۔ د لابراتوار کوربې په هغه زون کې خپاره کړئ چې د برانچ حل کوونکی ورته رسېدلای شي، بیا کاروونکو ته اجازه ورکړئ چې د شبکې سکن کولو پرځای په نوم ونښلي۔ دا په پیل کې ډېر کار دی او په هر راتلونکي بدلون کې ډېر لږ۔

multicast کشف سختې قضیه ده او دقت ته ارزښت لري۔ لکه mDNS په څېر پروتوکولونه د سیمه ییزې اړیکې multicast کاروي چې روټرونه یې په ډیفالټ ډول نه لېږدوي، نو هغه د لابراتوار کوربه چې د کشف په لیست کې نه وي ممکن لا هم په خپله مستنده پته د لاسرسي وړ وي۔ که یو ځانګړی خدمت واقعاً multicast ته اړتیا ولري، هماغه یو پروتوکول پلان کړئ، د یوه انعکاس کوونکي یا هدف شوې لېږد قاعدې سره، نه دا چې ټول LAN د عمومي ترمیم په توګه برج کړئ۔

انعکاس کوونکی هم وړیا بریا نه ده۔ هغه هماغه ډېر خبرې کوونکی ترافیک راوړي چې تاسو ترې مخنیوی غوښت، یو په یو خدمت، او داسې مالک ته اړتیا لري چې وپوهېږي کله یوه وسیله له مخکې ډېر اعلان پیل کړي۔ هغه د هر خدمت لپاره غوره کړئ او ولیکئ چې ولې۔ ثبت کړئ کوم خدمت ته اړتیا وه او څه اعلانوي، ځکه د firmware تازه کول کولای شي هغه لیست بدل کړي پرته له دې چې چا ته ووایي۔

روټ شوې طرحه د ازموینې وړ کړئ

یوه هدف وټاکئ، لکه د لابراتوار ویب انټرفېس په خپله سرور فرعي شبکه کې، او په دواړو لورو یې ثابت کړئ۔ په برانچ کې له یوه کوربه څخه په سیمه ییز ډول پته او اورېدونکی خدمت تایید کړئ، بیا د ټونل له لارې ونښلئ او تکرار یې کړئ۔ ولاړ ټونل ثابتوي چې دروازې سره موافقې دي؛ د کوربه فایر وال یا د بېرته راستنېدو لارې په اړه هېڅ نه ثابتوي۔

د لابراتوار عادي دروازې ته د برانچ مخکښ ته د بېرته راستنېدو لار ته اړتیا ده پرته له دې چې ډیزاین په قصد سرچینه وژباړي، او د سرور خپل فایر وال باید اجازه شوې لرې ساحه ومني۔ له دې دواړو هېڅ یو هم د بریالي ټونل لخوا نه تنظیمیږي۔ د strongSwan د لېږد یادښتونه هغه د پیکټ لار تشریح کوي چې باید په هر اړخ کې کار وکړي۔

بیا یو رد شوی منزل هم وازموئ۔ هغه برانچ کاروونکی چې یو اپلیکیشن ته اړتیا لري د hypervisor کنسول ته اړتیا نه لري، او د دې پوهېدو یوازینۍ لار چې پالیسي ریښتینې ده هماغه ازموینه ده چې باید رد کړي۔ مخکښونه، پر حل کوونکي تکیه او د ازموینو پایلې ثبت کړئ، او په هره سایټ کې راتلونکی بدلون له حافظې د بیا جوړولو پرځای په دقیقو کې کتنې وړ دی۔