VPN rutat sau LAN punte pentru o legătură între sucursală și laborator

Există două moduri de a face o sucursală să ajungă la un laborator de acasă, iar diferența nu este o setare. Poți ruta între prefixe distincte, astfel încât fiecare locație să își păstreze propriul domeniu de difuzare, sau poți puntea cele două LAN-uri într-unul singur, astfel încât difuzările și traficul de descoperire să se comporte ca și cum toți ar fi în aceeași cameră. Rutarea este proiectarea care supraviețuiește contactului cu o rețea reală. Puntea este proiectarea care face prima săptămână ușoară și prima defecțiune interesantă. Comparația de mai jos tratează ce oferă fiecare și cât costă, urmată de cum să faci versiunea rutată testabilă.

Două moduri de a conecta, un compromis evident

O legătură rutată tratează laboratorul de acasă ca o rețea la distanță cu adresarea ei proprie. Sucursala cere prefixul laboratorului, tunelul transportă acele pachete, iar poarta laboratorului răspunde din propria subrețea. Nimic din tabela ARP a sucursalei nu se schimbă și nimic din domeniul DHCP al laboratorului nu ajunge la sucursală.

O legătură punte extinde un singur domeniu de nivel 2 peste ambele locații. Protocoalele de descoperire funcționează, dispozitivele apar automat, iar fiecare difuzare, fiecare cerere ARP și fiecare pachet multicast este acum un candidat la traversarea tunelului, adică o cantitate mare de trafic purtată de protocoale gândite pentru un segment local și nu pentru o WAN cu alt MTU și un timp de dus-întors variabil.

Ce îți dă rutarea

Primul beneficiu este raza daunelor. O buclă, un server DHCP nedorit sau o revărsare de difuzări rămâne în locația care a produs-o, pentru că un router nu transmite difuzări. Al doilea este claritatea adresării: prefixul sucursalei și cel al laboratorului sunt distincte, deci destinația unui pachet îți spune care locație trebuie să răspundă, iar o regulă de firewall poate spune «sucursală către subrețeaua laboratorului» în loc de «oriunde către oriunde».

Al treilea este că se potrivește cu ceea ce transportă tunelul de fapt. O politică IPsec este o pereche de prefixe, iar calea de redirecționare de fiecare parte este rutare IP obișnuită cu redirecționarea activată pe poartă:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Ceea ce renunți este descoperirea prin difuzare. Este o pierdere reală și trebuie înlocuită deliberat, nu ocolită prin puntearea a tot.

Cât costă puntea

Puntea trebuie să transporte cadre de nivel 2 printr-un tunel, ceea ce înseamnă o încapsulare precum GRE sau VXLAN peste IPsec în loc de un tunel simplu bazat pe politici. Odată ce există, cele două locații împart un domeniu de defect. Spanning tree vede tunelul ca o legătură, traficul de difuzare consumă lățimea de bandă a tunelului, iar orice dispozitiv care presupune un segment cu latență mică se comportă greșit în moduri greu de atribuit de la oricare dintre capete.

Elimină și verificarea adresării care te ține cinstit. Cu un singur prefix plat, o adresă duplicată nu este o eroare de rutare, ci două gazde care își fură în liniște traficul, iar prefixele suprapuse între o sucursală și un laborator sunt obișnuite în montajele de laborator de acasă, deci puntea nu rezolvă acel conflict; îl distribuie.

Argumentul de securitate este cel care decide de obicei. O punte extinde segmentul pe care operează protocoalele de legătură locală, deci un dispozitiv din sucursală poate vorbi cu dispozitive din laborator care nu ar fi trebuit niciodată să fie accesibile din exterior. Dacă laboratorul are un hipervizor, o consolă de stocare și o interfață de administrare în aceeași rețea plată, acum acesta este un singur segment împreună cu sucursala.

Nume fără difuzare

Motivul pentru care oamenii pun punți este de obicei descoperirea: o imprimantă, un player media sau o gazdă din laborator care nu apare niciodată într-o listă. Răspunsul rutat este un serviciu de nume. Publică gazdele laboratorului într-o zonă pe care resolverul sucursalei o poate atinge, apoi lasă utilizatorii să se conecteze după nume în loc să scaneze rețeaua. Asta este mai multă muncă la început și mult mai puțină muncă la fiecare schimbare viitoare.

Descoperirea multicast este cazul mai dificil și merită precizie. Protocoale precum mDNS folosesc multicast de legătură locală, pe care routerele nu îl transmit implicit, deci o gazdă din laborator absentă dintr-o listă de descoperire poate fi în continuare accesibilă la adresa ei documentată. Dacă un serviciu anume chiar cere multicast, planifică acel singur protocol, cu un reflector sau o regulă de redirecționare țintită, în loc să punți întregul LAN ca reparație generală.

Nici un reflector nu este o victorie gratis. Aduce exact traficul vorbăreț pe care încercai să îl eviți, câte un serviciu pe rând, și are nevoie de un proprietar care să observe când un dispozitiv începe să anunțe mai mult decât înainte. Alege-l pe serviciu și notează de ce. Consemnează ce serviciu a avut nevoie de el și ce anunță, pentru că o actualizare de firmware poate schimba acea listă fără să spună nimănui.

Fă testabilă proiectarea rutată

Alege o țintă, de exemplu o interfață web a laboratorului pe propria subrețea de servere, și dovedește-o în ambele sensuri. De pe o gazdă din sucursală, confirmă adresa și serviciul care ascultă local, apoi conectează-te prin tunel și repetă. Un tunel care este sus dovedește că porțile sunt de acord; nu dovedește nimic despre firewall-ul gazdei sau despre ruta de întoarcere.

Poarta normală a laboratorului are nevoie de o rută înapoi la prefixul sucursalei dacă proiectarea nu traduce intenționat sursa, iar firewall-ul serverului însuși trebuie să accepte intervalul la distanță permis. Niciuna dintre ele nu este configurată de un tunel reușit. Notele de redirecționare strongSwan descriu calea pachetelor care trebuie să funcționeze pe fiecare parte.

Apoi testează și o destinație refuzată. Un utilizator din sucursală care are nevoie de o aplicație nu are nevoie de consola hipervizorului, iar singurul mod de a ști că politica este reală este să încerci exact ceea ce ar trebui să refuze. Notează prefixele, dependența de resolver și rezultatele testelor, iar o schimbare viitoare la oricare dintre locații poate fi revizuită în câteva minute în loc să fie reconstruită din memorie.