VPN i rrugëzuar apo LAN i urëzuar për një lidhje mes degës dhe laboratorit

Ka dy mënyra për ta bërë një degë të arrijë një laborator shtëpiak, dhe ndryshimi nuk është një cilësim. Mund të rrugëzoni mes prefikseve të ndryshme, kështu që secili vend mban domenin e vet të transmetimit, ose mund t'i urëzoni dy LAN-et në një, kështu që transmetimet dhe trafiku i zbulimit sillen sikur të gjithë të ishin në të njëjtën dhomë. Rrugëzimi është projektimi që i mban kontaktin me një rrjet të vërtetë. Urëzimi është projektimi që e bën javën e parë të lehtë dhe ndërprerjen e parë interesante. Krahasimi më poshtë flet për atë që jep secili dhe sa kushton, ndjekur nga mënyra për ta bërë variantin e rrugëzuar të testueshëm.

Dy mënyra për t'u lidhur, një kompromis i dukshëm

Një lidhje e rrugëzuar e trajton laboratorin shtëpiak si një rrjet të largët me adresimin e vet. Dega kërkon prefiksin e laboratorit, tuneli transporton ato paketa, dhe porta e laboratorit përgjigjet nga nënrrjeti i vet. Asgjë në tabelën ARP të degës nuk ndryshon, dhe asgjë nga diapazoni DHCP i laboratorit nuk arrin në degë.

Një lidhje e urëzuar shtrin një domen të vetëm të shtresës 2 nëpër të dy vendet. Protokollet e zbulimit punojnë, pajisjet shfaqen automatikisht, dhe çdo transmetim, çdo kërkesë ARP dhe çdo paketë multicast është tani kandidat për të kaluar tunelin, domethënë një sasi e madhe trafiku e mbajtur nga protokolle të ndërtuara për një segment lokal dhe jo për një WAN me një MTU tjetër dhe një kohë vajtje-ardhjeje të ndryshueshme.

Çfarë ju jep rrugëzimi

Përfitimi i parë është rrezja e dëmit. Një lak, një server DHCP i padëshiruar ose një përmbytje transmetimesh mbetet në vendin që e prodhoi, sepse një ruter nuk i përcjell transmetimet. I dyti është qartësia e adresimit: prefiksi i degës dhe prefiksi i laboratorit janë të ndryshëm, kështu që destinacioni i një pakete ju tregon cili vend duhet të përgjigjet, dhe një rregull i murit të zjarrit mund të thotë «dega në nënrrjetin e laboratorit» në vend të «kudo në kudo».

I treti është se përputhet me atë që tuneli transporton në të vërtetë. Një politikë IPsec është një palë prefikse, dhe rruga e përcjelljes në secilën anë është rrugëzim IP i zakonshëm me përcjelljen e aktivizuar në portë:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Ajo që hiqni dorë është zbulimi me transmetim. Ky është një humbje e vërtetë, dhe duhet zëvendësuar me qëllim në vend që të anashkalohet duke urëzuar gjithçka.

Sa kushton urëzimi

Urëzimi duhet të transportojë kuadro të shtresës 2 përmes një tuneli, që nënkupton një enkapsulim si GRE ose VXLAN mbi IPsec në vend të një tuneli të thjeshtë të bazuar në politikë. Pasi ekziston, dy vendet ndajnë një domen dështimi. Spanning tree e sheh tunelin si një lidhje, trafiku i transmetimit harxhon gjerësinë e bandës së tunelit, dhe çdo pajisje që supozon një segment me vonesë të ulët sillet keq në mënyra të vështira për t'u atribuuar nga cili do skaj.

Heq gjithashtu kontrollin e adresimit që ju mban të ndershëm. Me një prefiks të vetëm të sheshtë, një adresë e dyfishuar nuk është gabim rrugëzimi, por dy hoste që i vjedhin njëri-tjetrit trafikun në heshtje, dhe prefikset që mbivendosen mes një dege dhe një laboratori janë të zakonshme në montimet e laboratorit shtëpiak, kështu që urëzimi nuk e zgjidh atë konflikt; ai e shpërndan atë.

Argumenti i sigurisë është ai që zakonisht vendos. Një urë shtrin segmentin në të cilin veprojnë protokollet e lidhjes lokale, kështu që një pajisje në degë mund të flasë me pajisje laboratori që nuk ishin menduar kurrë të ishin të arritshme nga jashtë. Nëse laboratori ka një hipervizor, një konsolë ruajtjeje dhe një ndërfaqe administrimi në të njëjtin rrjet të sheshtë, tani ai është një segment bashkë me degën.

Emra pa transmetim

Arsyeja pse njerëzit urëzojnë është zakonisht zbulimi: një printer, një pajisje media ose një host laboratori që nuk shfaqet kurrë në një listë. Përgjigja e rrugëzuar është një shërbim emrash. Publikoni hostet e laboratorit në një zonë që zgjidhësi i degës mund ta arrijë, pastaj lërini përdoruesit të lidhen me emër në vend që të skanojnë rrjetin. Kjo është më shumë punë në fillim dhe shumë më pak punë në çdo ndryshim të ardhshëm.

Zbulimi multicast është rasti më i vështirë, dhe meriton saktësi. Protokolle si mDNS përdorin multicast të lidhjes lokale, të cilin ruterët nuk e përcjellin si parazgjedhje, kështu që një host laboratori që mungon në një listë zbulimi mund të jetë ende i arritshëm në adresën e tij të dokumentuar. Nëse një shërbim i caktuar kërkon vërtet multicast, planifikoni atë një protokol, me një reflektor ose një rregull të synuar përcjelljeje, në vend që të urëzoni të gjithë LAN-in si riparim të përgjithshëm.

As një reflektor nuk është fitore falas. Ai importon të njëjtin trafik llafazan që po përpiqeshit të shmangnit, një shërbim në një kohë, dhe ka nevojë për një pronar që vëren kur një pajisje fillon të reklamojë më shumë se më parë. Zgjidheni për çdo shërbim, dhe shkruani pse. Vini re cili shërbim kishte nevojë për të dhe çfarë reklamon, sepse një përditësim firmueri mund ta ndryshojë atë listë pa i thënë askujt.

Bëjeni projektimin e rrugëzuar të testueshëm

Zgjidhni një objektiv, për shembull një ndërfaqe web të laboratorit në nënrrjetin e vet të serverëve, dhe provojeni në të dy drejtimet. Nga një host në degë, konfirmoni adresën dhe shërbimin që dëgjon në lokal, pastaj lidhuni përmes tunelit dhe përsëritni. Një tunel që është lart provon që portat pajtohen; nuk provon asgjë për murin e zjarrit të hostit ose për rrugën e kthimit.

Porta normale e laboratorit ka nevojë për një rrugë kthimi drejt prefiksit të degës, përveç nëse projektimi e përkthen burimin me qëllim, dhe muri i zjarrit i vetë serverit duhet të pranojë diapazonin e lejuar të largët. Asnjëra prej tyre nuk konfigurohet nga një tunel i suksesshëm. Shënimet e përcjelljes të strongSwan përshkruajnë rrugën e paketave që duhet të funksionojë në secilën anë.

Pastaj provoni edhe një destinacion të refuzuar. Një përdorues i degës që ka nevojë për një aplikacion nuk ka nevojë për konsolën e hipervizorit, dhe mënyra e vetme për të ditur që politika është e vërtetë është të provoni pikërisht atë që duhet të refuzojë. Shënoni prefikset, varësinë nga zgjidhësi dhe rezultatet e testeve, dhe një ndryshim i ardhshëm në cilindo vend mund të shqyrtohet në minuta në vend që të rindërtohet nga kujtesa.