Dve lokálne siete v NetBirde: ktorí partneri smerujú a kto smie hovoriť

Pracovná stanica v západnej LAN otvorí prehliadač, napíše adresu aplikácie vo východnej LAN a čaká, kým nevyprší čas. Každá obrazovka NetBirdu hovorí, že partneri sú pripojení, čo je pravda a vedľajšie: byť v jednej prekrývajúcej sa sieti nie je to isté ako mať dve miestne podsiete v jednej sieti. Prechádzka nižšie začína na tejto pracovnej stanici a končí požiadavkou, ktorú návrh zámerne odmieta, a každá zastávka je niečo, čo sa prečíta zo zariadenia, nie uhádne. Očakávajte, že chýbajúcim dielom bude trasa alebo politika, nie prekrytie.

Najprv prečítajte zlyhanie z pracovnej stanice

Pred otvorením správy konzoly zistite, čo pracovná stanica skutočne odosiela. Jej vlastná smerovacia tabuľka rozhoduje, či paket pôjde na bránu lokality, na miestne rozhranie alebo nikam, a toto rozhodnutie je viditeľné bez akéhokoľvek nástroja prekrytia. Stroj bez trasy pre vzdialený prefix zlyhá, nech vyzerá zoznam partnerov akokoľvek zdravo. Rozsah prekrytia a vlastný prefix lokality sú rôzne adresné priestory a registrácia nakonfigurovala iba jeden z nich.

Potom oddeľte preklad názvov od dostupnosti, pretože prehliadač hlási oboje ako rovnaké vypršanie. Zopakujte požiadavku podľa adresy zo stroja s klientom NetBird a potom z bežnej pracovnej stanice bez neho. Ak registrovaný stroj uspeje a bežný zlyhá, medzera je v miestnom smerovaní; ak zlyhajú oba, čítajte ďalej, kým zmeníte trasu.

Vyberte jedného smerujúceho partnera na lokalitu

Smerujúci partner je hostiteľ, ktorý v prekrytí zastupuje svoju LAN, preto vyberte linuxový stroj so stabilnou dostupnosťou do podsiete, nie niekoho kancelársku pracovnú stanicu. Zaregistrujte ho bežným postupom a zaradte do skupiny pomenovanej podľa roly, pretože sieťový zdroj aj politika sa budú odkazovať na túto skupinu. Jeden zástupca na lokalitu zostáva čitateľný; dav dobrovoľníkov ohlasujúcich rovnaký prefix mení každú ďalšiu otázku na ladiacu reláciu. Adresa partnera v miestnom segmente je rovnako dôležitá ako jeho identita v prekrytí, pretože táto adresa sa stáva ďalším skokom, ktorý sa hovorí každému bežnému zariadeniu.

Napíšte plán, kým sa dotknete konzoly, pretože mená a prefixy sú miesto, kde tieto návrhy utekajú: prefix, brána, adresa partnera a skupina, pre každú lokalitu. Západ je 10.52.0.0/24 obsluhovaný 10.52.0.5 a východ je 10.63.0.0/24 obsluhovaný 10.63.0.5, skupiny sú west-routers a east-routers a žiadny prefix sa nesmie prekrývať s druhým, s rozsahom prekrytia ani s iným smerovaným cieľom.

Vytvorte zdroj, ponechajte maskovanie zapnuté

V nasadenom paneli vytvorte jeden sieťový zdroj na lokalitu a pripojte k nemu skupinu smerujúcich partnerov danej lokality. Zdroj je prefix a skupina je hostiteľ, ktorý zaň odpovedá, a oboje musí existovať, kým sa čokoľvek ohlási. Overte, že nasadená vlastnoručne hostovaná verzia vôbec má pracovný postup Siete, pretože staršie rozhranie s podobne nazvaným objektom trasy je iná funkcia.

Ponechajte maskovanie zapnuté. Sprievodca NetBirdu prepojením lokalít ho v tomto usporiadaní vyžaduje a vypnutie, aby každá pôvodná adresa zostala viditeľná, nie je rovnaký návrh s jedným skokom menej; mení, čo vidia kontroly zdroja a politiky prekrytia. Dôsledok stojí za to povedať priamo: prijímajúca služba zaznamenáva ako zdroj smerujúceho partnera, nie jednotlivú pracovnú stanicu. Ak zoznam povolených alebo audit tejto služby očakáva adresy pracovných staníc, buď sa zmení očakávanie, alebo sa identita musí vynútiť na hranici lokality pred prekladom.

Oprávnite iniciátorov, nie prefixy

Trasa robí adresu dostupnou a pravidlo rozhoduje, kto ju smie použiť; sú to dva oddelené objekty s oddelenými vlastníkmi. Napíšte pravidlo od pracovnej záťaže späť: ktorá skupina iniciuje, na ktorý zdroj cieli a ktorú službu TCP potrebuje. Sieť, ktorá ohlasuje oba prefixy každému registrovanému partnerovi, vytvorila dostupnosť a nič nevyriešila.

Potom prečítajte, čo už je povolené, pretože úzke nové pravidlo neruší široké staré, ktoré stojí nad ním. Keď musí východ tiež začínať spojenia na západ, napíšte tento smer ako vlastné pravidlo; návratová premávka pre reláciu, ktorú otvoril západ, je iná otázka než povolenie nových relácií na východ. Ak má východnú aplikáciu dosiahnuť len niekoľko západných pracovných staníc, vyberte ich na hranici lokality pred prekladom a ponechajte vlastné overenie identity aplikácie. Smerujúci partner nesie premávku LAN ako celú lokalitu, nie ako identitu prekrytia na používateľa, takže účtovanie na používateľa musí prísť odinakiaľ.

Naučte každú bránu ďalšiemu skoku a potom vyskúšajte odmietnutie

Bežné zariadenia nikdy nevidia prekrytie, takže ich vlastná brána potrebuje statickú trasu, ktorá smeruje vzdialený prefix na adresu partnera v miestnej sieti. To je krok, ktorý ľudia preskakujú, pretože všetko viditeľné v NetBirde už funguje, kým bežné pracovné stanice stále vypršia. Brána si ponecháva predvolenú trasu tak, ako bola; tento prefix je doplnenie, nie náhrada.

Dva popisy trás patria do konfigurácie brány každej lokality, nie do prepisu na hostiteľovi. Obe sú obyčajné statické trasy a ani jedna sa nedotýka predvolenej trasy:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Vyskúšajte s aplikáciou, ktorú projekt skutočne potrebuje, z bežnej pracovnej stanice, a zaznamenajte tri veci: ďalší skok zvolený na strane odosielateľa, pravidlo, ktoré zodpovedalo, a zdrojovú adresu, ktorú služba zaznamenala. Vyskúšajte aj odmietnutie, pretože návrh, ktorý nikdy nič neodmietol, má neznáme okraje, a odmietnutie je jediný dôkaz, že prácu robí pravidlo, nie smerovanie. Keď musí východ tiež iniciovať, začnite nové spojenie z tej strany, namiesto toho, aby ste predpokladali, že druhý smer nasleduje. Naplánujte aj reštart, upgrade a výmenu smerujúceho partnera, pretože z jedného hostiteľa sa stala závislosť lokality.

Súkromné názvy potrebujú vlastný návrh prekladača, pretože dostupnosť nevytvára záznamy DNS a fungujúca IP cesta s pokazeným názvom sa číta presne ako pokazená cesta. Ak smerujúci partner beží v cloudovej sieti, prejdite aj pravidlá preposielania a firewallu poskytovateľa, pretože registrácia ich neprebíja. Uchovajte pozorovania z testu vedľa plánu, pretože ďalší človek, ktorý to bude ladiť, bude chcieť zodpovedajúce pravidlo a zaznamenanú zdrojovú adresu, nie opis topológie.