Routovaná VPN alebo mostovaná LAN pre spojenie medzi pobočkou a laboratóriom

Existujú dva spôsoby, ako dostať pobočku k domácemu laboratóriu, a rozdiel nie je nastavenie. Môžete routovať medzi oddelenými prefixmi, takže každé miesto si zachová vlastnú doménu vysielania, alebo môžete obe LAN mostovať do jednej, takže vysielania a prevádzka objavovania sa správajú, akoby všetci boli v jednej miestnosti. Routing je návrh, ktorý prežije kontakt s ozajstnou sieťou. Mostovanie je návrh, ktorý robí prvý týždeň ľahkým a prvý výpadok zaujímavým. Porovnanie nižšie je o tom, čo každý z nich dáva a čo stojí, a potom o tom, ako urobiť routovanú verziu testovateľnou.

Dva spôsoby pripojenia, jeden zjavný kompromis

Routované spojenie považuje domáce laboratórium za vzdialenú sieť s vlastným adresovaním. Pobočka si vyžiada prefix laboratória, tunel prenáša tieto pakety a brána laboratória odpovedá zo svojej vlastnej podsiete. Na ARP tabuľke pobočky sa nič nemení a nič z rozsahu DHCP laboratória sa k pobočke nedostane.

Mostované spojenie rozširuje jednu doménu vrstvy 2 na obe miesta. Protokoly objavovania fungujú, zariadenia sa objavujú automaticky a každé vysielanie, každá požiadavka ARP a každý multicastový paket je teraz kandidátom na prechod tunelom, teda veľké množstvo prevádzky nesenej protokolmi navrhnutými pre miestny segment a nie pre WAN s inou MTU a premenlivou dobou odozvy.

Čo vám routing dáva

Prvou výhodou je dosah škody. Slučka, nechcený server DHCP alebo záplava vysielania zostane v mieste, ktoré ju vytvorilo, pretože router vysielania nepreposiela. Druhou je jasnosť adresovania: prefix pobočky a prefix laboratória sú oddelené, takže cieľ paketu vám povie, ktoré miesto má odpovedať, a pravidlo firewallu môže povedať „pobočka do podsiete laboratória“ namiesto „kamkoľvek kamkoľvek“.

Treťou je, že to zodpovedá tomu, čo tunel skutočne prenáša. Politika IPsec je dvojica prefixov a cesta preposielania na každej strane je bežný IP routing s povoleným preposielaním na bráne:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

To, čo vzdávate, je objavovanie pomocou vysielania. To je skutočná strata a mala by byť nahradená zámerne, nie obchádzaná mostovaním všetkého.

Čo mostovanie stojí

Mostovanie musí prenášať rámce vrstvy 2 tunelom, čo znamená zapuzdrenie ako GRE alebo VXLAN cez IPsec namiesto prostého tunela založeného na politikách. Keď to existuje, obe miesta zdieľajú doménu poruchy. Spanning tree vidí tunel ako spoj, prevádzka vysielania spotrebúva šírku pásma tunela a každé zariadenie, ktoré predpokladá segment s nízkou latenciou, sa správa zle spôsobmi, ktoré je z ktorejkoľvek strany ťažké pripísať.

Odstraňuje aj kontrolu adresovania, ktorá vás drží poctivé. S jedným plochým prefixom nie je duplicitná adresa chybou routingu, ale dva hosty, ktoré si ticho kradnú prevádzku, a prekrývajúce sa prefixy medzi pobočkou a laboratóriom sú v domácich laboratórnych zostavách bežné, takže mostovanie ten konflikt nerieši; rozdeľuje ho.

Argument bezpečnosti je ten, ktorý zvyčajne rozhoduje. Most rozširuje segment, na ktorom pracujú protokoly miestneho spoja, takže zariadenie v pobočke môže hovoriť so zariadeniami laboratória, ktoré nikdy nemali byť dostupné zvonku. Ak má laboratórium hypervizor, konzolu úložiska a rozhranie na správu v tej istej plochej sieti, je to teraz jeden segment spolu s pobočkou.

Názvy bez vysielania

Dôvod, prečo ľudia mostujú, je zvyčajne objavovanie: tlačiareň, mediálny prehrávač alebo host laboratória, ktorý sa nikdy neobjaví v zozname. Routovanou odpoveďou je služba názvov. Publikujte hosty laboratória v zóne, ktorú resolver pobočky dosiahne, a potom nechajte používateľov pripájať sa menom namiesto skenovania siete. To je na začiatku viac práce a pri každej budúcej zmene výrazne menej práce.

Objavovanie multicastu je ťažší prípad a zaslúži si presnosť. Protokoly ako mDNS používajú multicast miestneho spoja, ktorý routery predvolene nepreposielajú, takže host laboratória chýbajúci v zozname objavovania môže byť stále dostupný na svojej dokumentovanej adrese. Ak konkrétna služba naozaj vyžaduje multicast, naplánujte ten jeden protokol, s reflektorom alebo cieleným pravidlom preposielania, namiesto mostovania celej LAN ako všeobecnej opravy.

Ani reflektor nie je zadarmo. Privádza rovnakú ukecanú prevádzku, ktorej ste sa chceli vyhnúť, jednu službu po druhej, a potrebuje vlastníka, ktorý si všimne, keď zariadenie začne oznamovať viac než predtým. Vyberajte ho pre každú službu a zapíšte prečo. Poznamenajte, ktorá služba ho potrebovala a čo oznamuje, pretože aktualizácia firmvéru môže ten zoznam zmeniť bez toho, aby to niekomu povedala.

Urobte routovaný návrh testovateľným

Vyberte jeden cieľ, napríklad webové rozhranie laboratória vo vlastnej podsieti serverov, a dokážte ho v oboch smeroch. Z hostu v pobočke potvrďte adresu a naslúchajúcu službu lokálne, potom sa pripojte tunelom a zopakujte to. Tunel, ktorý je hore, dokazuje, že brány súhlasia; o firewalle hostu alebo o spätnej trase nedokazuje nič.

Normálna brána laboratória potrebuje trasu späť k prefixu pobočky, ak návrh zámerne neprekladá zdroj, a firewall samotného servera musí prijať povolený vzdialený rozsah. Ani jedno z toho úspešný tunel nenastaví. Poznámky k preposielaniu strongSwan opisujú cestu paketov, ktorá musí na každej strane fungovať.

Potom otestujte aj zakázaný cieľ. Používateľ pobočky, ktorý potrebuje jednu aplikáciu, nepotrebuje konzolu hypervizora, a jediný spôsob, ako zistiť, že politika je skutočná, je vyskúšať práve to, čo má odmietnuť. Zapíšte prefixy, závislosť od resolvera a výsledky testov, a budúca zmena v ktoromkoľvek mieste sa dá prejsť v minútach namiesto znovuvybudovania z pamäti.