Domáce laboratórium a rozdelený tunel: smerujte len to, čo potrebujete, nie všetko

Rada, že domáce laboratórium potrebuje plný tunel, zvyčajne pochádza z návodu, ktorý ho mal, nie z požiadavky. Rozdelený tunel nie je kompromisná verzia správneho VPN; je to verzia, ktorej smerovaciu tabuľku dokážete vysvetliť. Laboratórium s piatimi službami a rozhraním na správu nepotrebuje, aby každý paket opúšťajúci dom prechádzal tunelom. Potrebuje inventár a trasu pre každú položku tohto inventára.

Mýtus: rozdelený tunel je kompromis

Mýtus prežíva, pretože plný tunel sa ľahšie raz nastaví a ťažšie sa neskôr ladí. Táto výmena je rozumná pre notebook na verejnej Wi-Fi a nesprávna pre rack v pivnici.

Skrýva aj druhý predpoklad: adresovanie laboratória nemá nič spoločné so sieťou, z ktorej sa pripájate.

Urobte inventár prostriedkov pred trasami

Zapíšte každú podsieť laboratória, službu, ktorá tam žije, názov, cez ktorý ju prekladáte, a kto sa k nej smie dostať; poznámky k preposielaniu pre vašu bránu opisujú spiatočnú cestu, podľa ktorej plánujete. Pridajte rozsahy kontajnerov a rozsahy LAN, ktoré vzdialený klient možno už používa, pretože prekrytie je zlyhanie, ktorému tento inventár zabraňuje. Trasa pokrývajúca každú súkromnú adresu sa skôr či neskôr zrazí s domácou sieťou. Inventár je aj testovací plán, preto sa ho oplatí urobiť pred konfiguráciou a nie po nej.

Priraďte každému prostriedku cestu: tunelom, priamo alebo zakázané. Prostriedok bez priradenej cesty je ten, ktorý neskôr vytvára zmätenú otázku podpory.

Päť riadkov a stĺpec rozhodnutí poráža smerovaciu tabuľku, ktorú nikto nevie prečítať.

Brána potrebuje spiatočnú cestu

Preposielanie na bráne je len polovica. Laboratórium potrebuje trasu späť do pulu klientov alebo podporované usporiadanie prekladu, ktoré návrat umožní. Ak odpovede nenájdu klienta, tunel vyzerá pripojený a každá požiadavka skončí časovým limitom; to je príznak smerovania, nie zlyhanie VPN. Spiatočnú cestu kontrolujte ako súčasť návrhu, nie ako krok riešenia problémov.

Pul klientov, ktorý sa prekrýva s vlastným adresovaním laboratória, je druhá polovica tohto problému a zlyháva presne rovnakým spôsobom.

Opravte plán, nie príznaky, keď sa oba rozsahy zrazia.

Úlohy správy a internetu sú oddelené

Rozhodnite, či tunel používa len prevádzka laboratória alebo sa stane aj internetovým východom. Nepridávajte predvolenú trasu len preto, že ju použil návod, pretože toto rozhodnutie mení, kam ide každý DNS dotaz a každá kontrola aktualizácií. Zachovajte vonkajšiu cestu k samotnému koncovému bodu VPN, inak sa tunel pokúsi niesť vlastné vonkajšie spojenie. Držte prístup správy úzky a dostupný cez schválenú metódu obnovy.

Pre názvy laboratória možno zvoliť súkromný DNS bez predpokladu, že každý verejný dotaz potrebuje rovnaký resolver. To je rozhodnutie o resolveri, nie rozhodnutie o trase.

Práve ich oddelenie robí spôsoby zlyhania neskôr rozlíšiteľnými.

Testujte zvonku, nie z LAN

Použite externé autorizované spojenie namiesto testu z tej istej LAN, pretože test z tej istej LAN môže chýbajúcu spiatočnú trasu úplne skryť. Overte adresu laboratória, jej súkromné meno hostiteľa, zamýšľaný priamy cieľ a požadované správanie pri zlyhaní. Prípad zlyhania je rovnako dôležitý ako prípad úspechu: prostriedok, ku ktorému by sa nemalo dať dostať, musí byť skutočne nedostupný. Zapíšte všetky štyri výsledky, kým návrh vyhlásite za hotový.

Potom uložte konfiguráciu trás a DNS vedľa inventára, s uvedeným vlastníkom. Keď laboratórium získa ďalšiu podsieť, aktualizujte obe a znova otestujte.

Nevysvetlená trasa, ktorá sa prekrýva s existujúcou domácou sieťou, je predvoleným výsledkom vynechania tohto kroku.

Hotový návrh je malý, zdokumentovaný a nudný, a presne to laboratórium od svojej siete chce. Zaujímavá verzia je tá, ktorá sa pokazí, keď ste preč z domu.