Usmerjeni VPN ali premosten LAN za povezavo med podružnico in laboratorijem

Obstajata dva načina, da podružnica doseže domači laboratorij, in razlika ni nastavitev. Lahko usmerjate med ločenimi predponami, tako da vsako mesto obdrži svojo lastno oddajno domeno, ali pa premostite oba LAN-a v enega, tako da se oddajanja in promet odkrivanja obnašajo, kot da bi bili vsi v isti sobi. Usmerjanje je zasnova, ki preživi stik z resničnim omrežjem. Premostitev je zasnova, ki naredi prvi teden lahek in prvo odpoved zanimivo. Spodnja primerjava govori o tem, kaj vsak od njiju prinese in koliko stane, sledi pa ji, kako narediti usmerjeno različico preverljivo.

Dva načina povezave, en očiten kompromis

Usmerjena povezava obravnava domači laboratorij kot oddaljeno omrežje z lastnim naslavljanjem. Podružnica zahteva predpono laboratorija, tunel prenaša te pakete in prehod laboratorija odgovori iz svojega podomrežja. Nič v ARP tabeli podružnice se ne spremeni in nič iz obsega DHCP laboratorija ne doseže podružnice.

Premostena povezava razširi eno samo domeno plasti 2 čez obe lokaciji. Protokoli odkrivanja delujejo, naprave se pojavijo samodejno in vsako oddajanje, vsaka zahteva ARP in vsak paket multicast je zdaj kandidat za prehod skozi tunel, torej velika količina prometa, ki ga nosijo protokoli, zgrajeni za lokalni segment in ne za WAN z drugačnim MTU in spremenljivim časom povratne poti.

Kaj vam usmerjanje da

Prva prednost je doseg škode. Zanka, nezaželen strežnik DHCP ali poplava oddajanj ostane na mestu, ki jo je ustvarilo, ker usmerjevalnik ne posreduje oddajanj. Druga je jasnost naslavljanja: predpona podružnice in predpona laboratorija sta ločeni, zato vam cilj paketa pove, katero mesto mora odgovoriti, in pravilo požarnega zidu lahko reče „podružnica v podomrežje laboratorija“ namesto „kamorkoli kamorkoli“.

Tretja je, da se ujema s tem, kar tunel dejansko prenaša. Politika IPsec je par predpon, pot posredovanja na vsaki strani pa je običajno usmerjanje IP z omogočenim posredovanjem na prehodu:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Čemu se odpoveste, je odkrivanje z oddajanjem. To je resnična izguba in nadomestiti jo je treba namerno, ne pa se ji izogniti s premostitvijo vsega.

Kaj premostitev stane

Premostitev mora prenašati okvire plasti 2 skozi tunel, kar pomeni enkapsulacijo, kot sta GRE ali VXLAN čez IPsec, namesto preprostega tunela, ki temelji na politikah. Ko to obstaja, si obe lokaciji delita domeno odpovedi. Spanning tree vidi tunel kot povezavo, promet oddajanja porablja pasovno širino tunela in vsaka naprava, ki predpostavlja segment z nizko zakasnitvijo, se obnaša napačno na načine, ki jih je s katerega koli konca težko pripisati.

Odstrani tudi preverjanje naslavljanja, ki vas drži poštene. Z eno plosko predpono podvojen naslov ni usmerjevalna napaka, ampak dva gostitelja, ki si tiho kradeta promet, in prekrivajoče se predpone med podružnico in laboratorijem so v domačih laboratorijskih postavitvah pogoste, zato premostitev tega konflikta ne reši; razdeli ga.

Varnostni argument je tisti, ki običajno odloči. Most razširi segment, na katerem delujejo protokoli lokalne povezave, zato se lahko naprava v podružnici pogovarja z napravami laboratorija, ki nikoli niso smele biti dosegljive od zunaj. Če ima laboratorij hipervizor, konzolo za shranjevanje in vmesnik za upravljanje v istem ploskem omrežju, je to zdaj en segment skupaj s podružnico.

Imena brez oddajanja

Razlog, da ljudje premostijo, je običajno odkrivanje: tiskalnik, predvajalnik predstavnosti ali gostitelj laboratorija, ki se nikoli ne pojavi na seznamu. Usmerjeni odgovor je storitev imen. Objavite gostitelje laboratorija v območju, ki ga razreševalnik podružnice doseže, in nato pustite uporabnikom, da se povežejo po imenu, namesto da skenirajo omrežje. To je na začetku več dela in pri vsaki prihodnji spremembi precej manj dela.

Odkrivanje multicast je težji primer in si zasluži natančnost. Protokoli, kot je mDNS, uporabljajo multicast lokalne povezave, ki ga usmerjevalniki privzeto ne posredujejo, zato je gostitelj laboratorija, ki manjka na seznamu za odkrivanje, lahko še vedno dosegljiv na svojem dokumentiranem naslovu. Če določena storitev resnično zahteva multicast, načrtujte ta en protokol, z reflektorjem ali ciljnim pravilom posredovanja, namesto da premostite celoten LAN kot splošno popravilo.

Tudi reflektor ni brezplačna zmaga. Uvozi isti klepetavi promet, ki ste se mu želeli izogniti, eno storitev naenkrat, in potrebuje lastnika, ki bo opazil, ko naprava začne oglaševati več kot prej. Izberite ga za vsako storitev in zapišite zakaj. Zabeležite, katera storitev ga je potrebovala in kaj oglašuje, ker lahko posodobitev vdelane programske opreme spremeni ta seznam, ne da bi komu povedala.

Naredite usmerjeno zasnovo preverljivo

Izberite en cilj, na primer spletni vmesnik laboratorija v lastnem podomrežju strežnikov, in ga dokažite v obe smeri. Z gostitelja v podružnici potrdite naslov in storitev, ki posluša, lokalno, nato se povežite skozi tunel in ponovite. Tunel, ki je pokonci, dokazuje, da se prehoda strinjata; o požarnem zidu gostitelja ali o povratni poti ne dokazuje ničesar.

Običajni prehod laboratorija potrebuje pot nazaj do predpone podružnice, razen če zasnova namerno prevaja vir, požarni zid strežnika pa mora sprejeti dovoljeno oddaljeno območje. Nobenega od tega ne nastavi uspešen tunel. Opombe o posredovanju strongSwan opisujejo pot paketov, ki mora delovati na vsaki strani.

Nato preizkusite tudi zavrnjeni cilj. Uporabnik podružnice, ki potrebuje eno aplikacijo, ne potrebuje konzole hipervizorja, in edini način, da veste, da je politika resnična, je preizkusiti natanko to, kar bi morala zavrniti. Zabeležite predpone, odvisnost od razreševalnika in rezultate preizkusov, in prihodnjo spremembo na kateri koli lokaciji je mogoče pregledati v nekaj minutah, namesto da bi jo obnavljali iz spomina.