Dve omrežji LAN v NetBirdu: kateri partnerji usmerjajo in kdo sme govoriti

Delovna postaja v zahodnem omrežju LAN odpre brskalnik, vtipka naslov aplikacije v vzhodnem omrežju LAN in čaka, da poteče čas. Vsak zaslon NetBirda pravi, da so partnerji povezani, kar je res in ne bistveno: biti v enem prekrivnem omrežju ni isto kot imeti dve lokalni podomrežji v enem omrežju. Spodnja pot se začne na tej delovni postaji in konča z zahtevo, ki jo zasnova namenoma zavrne, in vsak postanek je nekaj, kar preberete z naprave, ne ugibate. Pričakujte, da bo manjkajoči del pot ali politika, ne prekrivno omrežje.

Najprej preberite napako z delovne postaje

Preden odprete upravljalno konzolo, ugotovite, kaj delovna postaja v resnici pošilja. Njena lastna usmerjevalna tabela odloči, ali gre paket na prehod lokacije, na lokalni vmesnik ali nikamor, in ta odločitev je vidna brez kakršnega koli orodja za prekrivanje. Stroj brez poti za oddaljeni predpono bo propadel, ne glede na to, kako zdravo je videti seznam partnerjev. Razpon prekrivanja in lastna predpona lokacije sta različna naslovna prostora, registracija pa je nastavila le enega od njiju.

Nato ločite razreševanje imen od dosegljivosti, ker brskalnik oboje sporoči kot isto poteklo časovno omejitev. Ponovite zahtevo po naslovu s strojem s odjemalcem NetBird in nato z običajno delovno postajo brez njega. Če registrirani stroj uspe in običajni ne, je vrzel v lokalnem usmerjanju; če oba ne uspeta, berite naprej, preden spremenite pot.

Izberite enega partnerskega usmerjevalnika na lokacijo

Partnerski usmerjevalnik je gostitelj, ki v prekrivanju zastopa svoje omrežje LAN, zato izberite Linux stroj s stabilno dosegljivostjo podomrežja, ne pa koga pisarniške delovne postaje. Registrirajte ga po običajnem postopku in ga vstavite v skupino, imenovano po vlogi, ker se bosta omrežni vir in politika oba sklicevala na to skupino. En predstavnik na lokacijo ostane berljiv; množica prostovoljcev, ki oglašujejo isto predpono, spremeni vsako poznejše vprašanje v sejo odpravljanja napak. Naslov partnerja v lokalnem segmentu je enako pomemben kot njegova identiteta v prekrivanju, ker ta naslov postane naslednji skok, ki ga sliši vsaka običajna naprava.

Zapišite načrt, preden se dotaknete konzole, ker so imena in predpone kraj, kjer te zasnove uidejo: predpona, prehod, naslov partnerja in skupina, za vsako lokacijo. Zahod je 10.52.0.0/24, ki ga oskrbuje 10.52.0.5, vzhod pa 10.63.0.0/24, ki ga oskrbuje 10.63.0.5; skupini sta west-routers in east-routers, in nobena predpona se ne sme prekrivati z drugo, z razponom prekrivanja ali z drugim usmerjenim ciljem.

Ustvarite vir, obdržite maskiranje

V nameščeni nadzorni plošči ustvarite en omrežni vir na lokacijo in nanj pripnite skupino partnerskih usmerjevalnikov te lokacije. Vir je predpona, skupina pa gostitelj, ki zanjo odgovarja, in oba morata obstajati, preden se karkoli oglasi. Preverite, ali ima nameščena samogostujoča različica sploh delovni tok Omrežja, ker je starejši vmesnik s podobno imenovanim objektom poti druga funkcija.

Pustite maskiranje vklopljeno. NetBirdov vodnik za povezavo med lokacijami ga v tej postavitvi zahteva, in izklop, da bi vsak prvotni naslov ostal viden, ni ista zasnova z enim skokom manj; spremeni, kaj vidijo preverjanja vira in politike prekrivanja. Posledico velja povedati naravnost: storitev, ki prejme, kot vir zabeleži partnerskega usmerjevalnika, ne posamezne delovne postaje. Če seznam dovoljenih ali revizija te storitve pričakuje naslove delovnih postaj, se bodisi spremeni pričakovanje bodisi je treba identiteto uveljaviti na meji lokacije pred prevodom.

Pooblastite začetnike, ne predpon

Pot naredi naslov dosegljiv, politika pa odloči, kdo ga sme uporabljati; to sta dva ločena predmeta z ločenimi lastniki. Napišite politiko od delovne obremenitve nazaj: katera skupina začne, na kateri vir cilja in katero storitev TCP potrebuje. Omrežje, ki obe predponi oglašuje vsakemu registriranemu partnerju, je ustvarilo dosegljivost in ničesar odločilo.

Nato preberite, kaj je že dovoljeno, ker ozko novo pravilo ne prekliče širokega starega, ki stoji nad njim. Ko mora tudi vzhod začenjati povezave na zahod, zapišite to smer kot lastno politiko; povratni promet za sejo, ki jo je odprl zahod, je drugo vprašanje kot dovoljenje novih sej na vzhod. Če mora le nekaj zahodnih delovnih postaj doseči vzhodno aplikacijo, jih izberite na meji lokacije pred prevodom in obdržite lastno preverjanje identitete aplikacije. Partnerski usmerjevalnik prenaša promet LAN kot celotno lokacijo in ne kot identiteto prekrivanja na uporabnika, zato mora obračunavanje na uporabnika priti od drugod.

Naučite vsak prehod naslednjega skoka, nato preizkusite zavrnitev

Običajne naprave nikoli ne vidijo prekrivanja, zato njihov prehod potrebuje statično pot, ki oddaljeno predpono usmeri na naslov LAN partnerskega usmerjevalnika. To je korak, ki ga ljudje preskočijo, ker vse vidno v NetBirdu že deluje, medtem ko običajne delovne postaje še vedno potečejo. Prehod obdrži privzeto pot tako, kot je bila; ta predpona je dodatek, ne zamenjava.

Oba opisa poti spadata v konfiguracijo prehoda vsake lokacije, ne v preglasitev na gostitelju. Oba sta običajni statični poti in nobena se ne dotakne privzete poti:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Preizkusite z aplikacijo, ki jo projekt resnično potrebuje, z običajne delovne postaje, in zabeležite tri stvari: naslednji skok, izbran na strani pošiljatelja, politiko, ki se je ujemala, in izvorni naslov, ki ga je zabeležila storitev. Preizkusite tudi zavrnitev, ker ima zasnova, ki ni nikoli ničesar zavrnila, neznane robove, in zavrnitev je edini dokaz, da delo opravlja politika in ne usmerjanje. Ko mora tudi vzhod začeti, začnite novo povezavo s tiste strani, namesto da bi domnevali, da drugi smer sledi. Načrtujte tudi ponovni zagon, nadgradnjo in zamenjavo partnerskega usmerjevalnika, ker je en gostitelj postal odvisnost lokacije.

Zasebna imena potrebujejo lastno zasnovo razreševalnika, ker dosegljivost ne ustvarja zapisov DNS in delujoča pot IP s pokvarjenim imenom se bere natanko kot pokvarjena pot. Če partnerski usmerjevalnik teče v oblaku, pregledajte tudi pravila posredovanja in požarnega zidu ponudnika, ker jih registracija ne razveljavi. Hranite opažanja iz preskusa ob načrtu, ker bo naslednja oseba, ki bo to odpravljala, hotela ujemajočo se politiko in zabeležen izvorni naslov, ne opisa topologije.