Рутирани VPN или мостовани LAN за везу између филијале и лабораторије

Постоје два начина да филијала стигне до кућне лабораторије, а разлика није подешавање. Можете рутирати између различитих префикса, тако да сваки локалитет задржи свој домен емитовања, или мостовати две локалне мреже у једну, тако да се емитовања и саобраћај откривања понашају као да су сви у истој соби. Рутирање је решење које издржава контакт са стварном мрежом. Мостовање је решење које прву недељу чини лаком, а први квар интересантним. Поређење испод говори о томе шта свако даје и колико кошта, а затим о томе како рутирану верзију учинити проверљивом.

Два начина повезивања, један очигледан компромис

Рутирана веза третира кућну лабораторију као удаљену мрежу са сопственим адресирањем. Филијала тражи префикс лабораторије, тунел преноси те пакете, а пролаз лабораторије одговара из сопствене подмреже. Ништа у ARP табели филијале се не мења и ништа из DHCP опсега лабораторије не стиже до филијале.

Мостована веза шири један домен нивоа 2 на оба локалитета. Протоколи откривања раде, уређаји се појављују аутоматски и свако емитовање, сваки ARP захтев и сваки multicast пакет сада је кандидат да прође кроз тунел, односно велика количина саобраћаја коју носе протоколи створени за локални сегмент, а не за WAN са другим MTU-ом и променљивим временом обиласка.

Шта вам даје рутирање

Прва предност је радијус штете. Петља, нежељени DHCP сервер или лавина емитовања остаје у локалитету који ју је створио, зато што рутер не прослеђује емитовања. Друга је јасноћа адресирања: префикс филијале и префикс лабораторије се разликују, па одредиште пакета говори који локалитет треба да одговори, и правило заштитног зида може да каже „филијала ка подмрежи лабораторије“ уместо „било где ка било где“.

Треће је да то одговара ономе што тунел заиста преноси. IPsec политика је пар префикса, а пут прослеђивања са сваке стране је обично IP рутирање са укљученим прослеђивањем на пролазу:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Оно чега се одричете је откривање путем емитовања. То је стварни губитак и треба га намерно заменити, а не заобићи мостовањем свега.

Шта кошта мостовање

Мостовање мора да преноси оквире нивоа 2 кроз тунел, што значи инкапсулацију као што је GRE или VXLAN преко IPsec-а уместо простог тунела заснованог на политикама. Када то постоји, два локалитета деле један домен отказа. Spanning tree види тунел као везу, емитовани саобраћај троши пропусност тунела, и сваки уређај који претпоставља сегмент са малом латенцијом понаша се погрешно на начине које је са било које стране тешко приписати.

Он такође уклања проверу адресирања која вас држи поштенима. Са једним равним префиксом, дуплирана адреса није грешка рутирања него два хоста која тихо краду саобраћај једно другом, а преклапајући префикси између филијале и лабораторије чести су у кућним лабораторијским поставкама, па мостовање не решава тај сукоб; оно га распоређује.

Аргумент безбедности је онај који обично одлучује. Мост шири сегмент на коме раде протоколи локалне везе, па уређај у филијали може да разговара са уређајима лабораторије који никада нису смели бити доступни споља. Ако лабораторија има хипервизор, конзолу за складиштење и интерфејс за управљање у истој равној мрежи, то је сада један сегмент заједно са филијалом.

Имена без емитовања

Разлог због којег људи мостују обично је откривање: штампач, медијски уређај или хост лабораторије који се никада не појави на листи. Рутирани одговор је служба имена. Објавите хостове лабораторије у зони коју резолвер филијале може да достигне, а затим пустите корисницима да се повежу по имену уместо да скенирају мрежу. То је више посла на почетку и знатно мање посла при свакој будућој промени.

Откривање преко multicast-а је тежи случај и заслужује прецизност. Протоколи као што је mDNS користе multicast локалне везе, који рутери подразумевано не прослеђују, па хост лабораторије који недостаје на листи откривања може и даље бити доступан на својој документованој адреси. Ако одређена служба заиста захтева multicast, планирајте тај један протокол, са рефлектором или циљаним правилом прослеђивања, уместо да мостујете цео LAN као општу поправку.

Ни рефлектор није бесплатна победа. Он увози исти брбљиви саобраћај који сте покушавали да избегнете, једну службу по једну, и потребан му је власник који ће приметити када уређај почне да оглашава више него раније. Изаберите га по служби и запишите зашто. Забележите која је служба имала потребу за њим и шта оглашава, јер ажурирање фирмвера може да промени ту листу без да икоме каже.

Учините рутирану верзију проверљивом

Изаберите један циљ, на пример веб интерфејс лабораторије у њеној сопственој подмрежи сервера, и докажите га у оба смера. Са хоста у филијали потврдите адресу и службу која слуша локално, затим се повежите кроз тунел и поновите. Подигнут тунел доказује да су пролази сагласни; о заштитном зиду хоста или повратном путу не доказује ништа.

Уобичајеном пролазу лабораторије потребан је пут назад до префикса филијале, осим ако пројекат намерно не преводи извор, а заштитни зид самог сервера мора да прихвати дозвољени удаљени опсег. Ни једно ни друго не конфигурише успешан тунел. Белешке о прослеђивању strongSwan описују пут пакета који мора да ради са сваке стране.

Затим тестирајте и забрањено одредиште. Кориснику филијале коме треба једна апликација не треба конзола хипервизора, и једини начин да знате да је политика стварна јесте да пробате управо оно што би требало да одбије. Забележите префиксе, зависност од резолвера и резултате тестова, и будућа промена на било ком локалитету може да се прегледа за неколико минута уместо да се поново гради по сећању.