VPN iliyoelekezwa au LAN iliyofungwa daraja kwa kiungo kati ya tawi na maabara

Kuna njia mbili za kufanya tawi lifikie maabara ya nyumbani, na tofauti si mpangilio. Unaweza kuelekeza kati ya viambishi tofauti, ili kila tovuti ihifadhi kikoa chake cha matangazo, au unaweza kufunga LAN mbili kwa daraja kuwa moja, ili matangazo na trafiki ya ugunduzi vijifanye kana kwamba kila mtu yuko kwenye chumba kimoja. Uelekezaji ni muundo unaostahimili mawasiliano na mtandao halisi. Ufungaji daraja ni muundo unaofanya wiki ya kwanza kuwa rahisi na hitilafu ya kwanza kuwa ya kuvutia. Ulinganisho hapa chini unahusu kile kila mmoja unatoa na gharama yake, kisha jinsi ya kufanya toleo lililoelekezwa liweze kujaribiwa.

Njia mbili za kuunganisha, mabadilishano moja ya wazi

Kiungo kilichoelekezwa kinachukulia maabara ya nyumbani kama mtandao wa mbali wenye anwani zake. Tawi linaomba kiambishi cha maabara, handaki hubeba pakiti hizo, na lango la maabara hujibu kutoka subnet yake mwenyewe. Hakuna kinachobadilika kwenye jedwali la ARP la tawi, na hakuna sehemu ya wigo wa DHCP wa maabara inayofika kwenye tawi.

Kiungo kilichofungwa daraja kinapanua kikoa kimoja cha tabaka 2 kwenye tovuti zote mbili. Itifaki za ugunduzi zinafanya kazi, vifaa vinaonekana vyenyewe, na kila tangazo, kila ombi la ARP na kila pakiti ya multicast sasa ni mgombea wa kuvuka handaki, yaani kiasi kikubwa cha trafiki inayobebwa na itifaki zilizoundwa kwa sehemu ya ndani na si kwa WAN yenye MTU tofauti na muda wa mzunguko unaobadilika.

Uelekezaji unakupa nini

Faida ya kwanza ni eneo la uharibifu. Mzunguko, seva ya DHCP isiyotakiwa au mafuriko ya matangazo hubaki kwenye tovuti iliyoizalisha, kwa sababu kipanga njia hakipitishi matangazo. Ya pili ni uwazi wa anwani: kiambishi cha tawi na kiambishi cha maabara ni tofauti, kwa hiyo lengwa la pakiti linakuambia tovuti ipi inapaswa kujibu, na kanuni ya firewall inaweza kusema «tawi hadi subnet ya maabara» badala ya «kutoka popote hadi popote».

Ya tatu ni kwamba inalingana na kile handaki inachobeba kwa kweli. Sera ya IPsec ni jozi ya viambishi, na njia ya upelekaji kwa kila upande ni uelekezaji wa kawaida wa IP wenye upelekaji umewashwa kwenye lango:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Unachokosa ni ugunduzi kwa njia ya matangazo. Hiyo ni hasara halisi, na inapaswa kubadilishwa kwa makusudi badala ya kuepukwa kwa kufunga kila kitu daraja.

Gharama ya ufungaji daraja

Ufungaji daraja lazima ubebe fremu za tabaka 2 kupitia handaki, ambayo inamaanisha ufungashaji kama GRE au VXLAN juu ya IPsec badala ya handaki rahisi linalotegemea sera. Mara hilo linapokuwepo, tovuti mbili zinashiriki kikoa kimoja cha kushindwa. Spanning tree inaona handaki kama kiungo, trafiki ya matangazo hutumia kipimo cha data cha handaki, na kifaa chochote kinachodhani sehemu yenye ucheleweshaji mdogo hufanya vibaya kwa njia ambazo ni vigumu kuhusisha kutoka upande wowote.

Pia huondoa ukaguzi wa anwani unaokufanya uwe mwaminifu. Kwa kiambishi kimoja tambarare, anwani inayorudiwa si kosa la uelekezaji bali ni wenyeji wawili wanaoiibia trafiki ya kila mmoja kwa utulivu, na viambishi vinavyogongana kati ya tawi na maabara ni vya kawaida katika mipangilio ya maabara ya nyumbani, kwa hiyo ufungaji daraja hautatui mgongano huo; unaugawanya.

Hoja ya usalama ndiyo huamua kwa kawaida. Daraja hupanua sehemu ambayo itifaki za kiungo cha ndani hufanya kazi, kwa hiyo kifaa kilicho kwenye tawi kinaweza kuzungumza na vifaa vya maabara ambavyo havikuwa vimekusudiwa kufikiwa kutoka nje. Ikiwa maabara ina hypervisor, konsoli ya hifadhi na kiolesura cha usimamizi kwenye mtandao mmoja tambarare, hiyo sasa ni sehemu moja pamoja na tawi.

Majina bila matangazo

Sababu ya watu kufunga daraja kwa kawaida ni ugunduzi: printa, kifaa cha midia au mwenyeji wa maabara ambaye haonekani kamwe kwenye orodha. Jibu lililoelekezwa ni huduma ya majina. Chapisha wenyeji wa maabara katika eneo ambalo kisuluhishi cha tawi kinaweza kufikia, kisha waache watumiaji waunganishe kwa jina badala ya kuchanganua mtandao. Hiyo ni kazi zaidi mwanzoni na kazi ndogo zaidi katika kila mabadiliko ya baadaye.

Ugunduzi wa multicast ni kisa kigumu zaidi, na unastahili usahihi. Itifaki kama mDNS hutumia multicast ya kiungo cha ndani, ambayo vipanga njia haipitishi kwa chaguo-msingi, kwa hiyo mwenyeji wa maabara asiyekuwepo kwenye orodha ya ugunduzi anaweza bado kufikiwa kwenye anwani yake iliyoandikwa. Ikiwa huduma mahususi inahitaji multicast kwa kweli, panga itifaki hiyo moja, kwa kiakisi au kanuni lengwa ya upelekaji, badala ya kufunga LAN yote daraja kama ukarabati wa jumla.

Kiakisi pia si ushindi wa bure. Huleta trafiki hiyo hiyo ya porojo uliyokuwa ukijaribu kuepuka, huduma moja kwa wakati, na kinahitaji mmiliki atakayegundua wakati kifaa kinaanza kutangaza zaidi kuliko hapo awali. Chagua kwa kila huduma, na uandike kwa nini. Andika huduma ipi iliihitaji na inatangaza nini, kwa sababu sasisho la firmware linaweza kubadilisha orodha hiyo bila kumwambia mtu yeyote.

Fanya muundo ulioelekezwa uweze kujaribiwa

Chagua lengo moja, kwa mfano kiolesura cha wavuti cha maabara kwenye subnet yake ya seva, na uthibitishe kwa pande zote mbili. Kutoka kwa mwenyeji katika tawi, thibitisha anwani na huduma inayosikiliza kwa ndani, kisha unganisha kupitia handaki na urudie. Handaki iliyosimama inathibitisha kwamba lango zinakubaliana; kuhusu firewall ya mwenyeji au njia ya kurudi haithibitishi chochote.

Lango la kawaida la maabara linahitaji njia ya kurudi kwenye kiambishi cha tawi isipokuwa muundo unatafsiri chanzo kwa makusudi, na firewall ya seva yenyewe lazima ikubali masafa ya mbali yaliyoruhusiwa. Hakuna cha hizo kinachosanidiwa na handaki iliyofanikiwa. Maelezo ya upelekaji ya strongSwan yanaeleza njia ya pakiti inayopaswa kufanya kazi kwa kila upande.

Kisha jaribu pia lengwa lililokataliwa. Mtumiaji wa tawi anayehitaji programu moja hahitaji konsoli ya hypervisor, na njia pekee ya kujua kwamba sera ni ya kweli ni kujaribu kile inachopaswa kukataa. Andika viambishi, utegemezi wa kisuluhishi na matokeo ya majaribio, na mabadiliko ya baadaye kwenye tovuti yoyote yanaweza kupitiwa kwa dakika chache badala ya kujengwa upya kutoka kumbukumbu.