Bituin o buong lambat: aling topolohiya ng VPN ang bagay sa iyong mga site

Dalawang sangay na opisina ang nag-uusap buong araw, at ang tunel sa pagitan nila ay dumadaan sa isang datacenter sa ibang rehiyon. Bawat kahilingan ay nagbabayad nang dalawang beses para sa paglilihis, at walang nakakapansin hanggang ang pag-sync ng file ay nagsimulang maging kakaiba. Doon talaga nagsisimula ang tanong sa topolohiya: hindi kung aling diagram ang mukhang mas matibay, kundi kung aling pattern ng trapiko ang binabayaran mo. Gumagana ang dalawang disenyo, at parehong nabibigo sa magkaibang paraan at magkaibang gastos.

Bilangin muna ang mga relasyon ng peer

Sa N site, ang buong lambat ay nangangailangan ng N na minultiplika sa N bawas isa, hatiin sa dalawa, na mga tunel; ang hub ay nangangailangan ng N. Sa limang site iyon ay sampu laban sa lima, na mukhang kaya pa. Sa labinlima ito ay 105 laban sa labinlima, at ang pagkakaiba ay hindi na aritmetika kundi tauhan.

Bawat isa sa mga relasyong iyon ay may dalang estado na kailangan mong pamahalaan. Sa IPsec nangangahulugan ito ng security association, pagkakakilanlan, susi o sertipiko, pagtukoy ng patay na peer at hindi bababa sa isang ruta bawat remote prefix. Sa WireGuard nangangahulugan ito ng pampublikong susi at bloke ng AllowedIPs bawat peer; mas mura bawat peer ngunit walang anumang discovery: ang bagong site ay pagbabago ng configuration sa lahat ng umiiral sa alinmang paraan.

Hayaang magpasya ang halo ng trapiko, hindi ang guhit

Kung ang trapiko ng sangay ay halos mga kahilingan sa sentral na ERP o file cluster, ang hub ay hindi kompromiso kundi tamang hugis: ang trapiko ay gusto nang pumunta doon, at isang punto ng patakaran ay mas madaling i-audit kaysa lambat ng pares na patakaran. Ang buong lambat ay karapat-dapat sa komplikasyon nito kapag nagpapalitan ng data ang mga sangay: replikasyon sa pagitan ng dalawang opisina, boses sa pagitan ng mga site, CAD share na binubuksan ng dosenang inhinyero buong araw.

Ang mahihirap na kaso ay nasa gitna, at sila ang mayorya. Sukatin bago makipagtalo sa halip na manghula mula sa chart ng organisasyon.

Basahin ang talahanayan bilang tagapagpasya, hindi bilang patakaran. Tatlo sa apat na hilera sa isang direksyon ang karaniwang nagtatakda ng disenyo, at ang hati ay nangangahulugan ng hybrid, na siyang pinapatakbo ng karamihan ng hinog na network.

Kailangang sabihan ang hub na mag-forward

Dalawang gumaganang tunel na sangay-sa-hub ay hindi gumagawa ng access sa pagitan ng mga sangay. Ang hub ay nangangailangan ng IP forwarding na bukas, ruta sa bawat network ng sangay, firewall rule na nagpapahintulot sa transit at nakalkulang pabalik na landas; bawat sangay ay nangangailangan ng ruta sa mga prefix ng kabilang site. Sa Linux hub iyon ay net.ipv4.ip_forward=1 dagdag ang FORWARD chain na hindi tahimik na nagtatapon ng pares, at sa policy-based IPsec ito ay mga traffic selector na naglilista ng subnet ng malayong sangay sa dalawang dulo. strongSwan mga tala sa forwarding ang sumasaklaw sa panig ng kernel at firewall kapag iyon ang layer na kulang sa iyo. Isang murang pagsubok: magpadala ng trapiko mula sa isang sangay patungo sa serbisyo sa kabila habang pinapanood ang mga counter ng hub; ang patakarang hindi kailanman tumataas ay nangangahulugan na mali ang pagkakasunod-sunod, hindi ang ruta.

Ang sentral na patakaran ay ang kapaki-pakinabang na bahagi rin. Maaaring payagan ang mga sangay na maabot ang pinagsasaluhang serbisyo nang hindi umaabot sa isa't isa, at ang access matrix na iyon ay sulit isulat nang tahasan. Ang kulang na ruta ay mahinang kapalit ng patakarang kayang basahin ng isang tao.

Mag-ingat sa kalahating-tapos na bersyon: ang sangay A ay nagruruta patungo sa sangay B sa pamamagitan ng hub, ang hub ay nagruruta sa dalawang direksyon, at ang firewall ng hub ay pinapayagan ang bagong koneksyon mula sa A ngunit hindi mula sa B. Ang unang direksyon ay maayos sa pagsubok at ang pangalawa ay bumabitin, na mukhang fault sa routing at hindi.

Idisenyo muna ang pagkasira, pagkatapos ang normal na landas

Ang isang hub ay pinagsasaluhang dependency at bottleneck ng transit, at ang redundancy ang lugar kung saan karaniwang nagkakamali ang disenyong may hub. Dalawang hub ay nangangahulugan na bawat sangay ay may dalawang tunel, at ang pabalik na landas ay dapat sumang-ayon sa palabas; kapag hindi, itinatapon ng stateful firewall ang mga sagot at ang sintomas ay koneksyong bumubukas at pagkatapos namamatay. Mas malalaking deployment ay nilulutas ito sa routing protocol sa ibabaw ng mga tunel sa halip na static prefix, na mas maraming makinarya ngunit tinatanggal ang hula. Anuman ang piliin mo, isulat ang pabalik na landas sa tabi ng palabas, dahil ang kalahating pabalik ang hindi sinusubok ng kahit sino.

Ipinapamahagi ng buong lambat ang panganib na iyon: ang pagbagsak ng link ng isang site ay hindi naghihiwalay sa iba. Pinararami rin nito ang mga lugar kung saan ang pagpili ng landas ay maaaring magulat sa iyo, at ang mga session ng aplikasyon ay hindi pa rin nakakaligtas sa pagbabago ng landas nang walang tulong.

Wala sa mga disenyo ang nagpapanatili ng TCP session na buhay sa isang failover nang mag-isa. Kung hindi makakonekta muli ang aplikasyon, ang topolohiya ay hindi ang problema mo.

Pumili ayon sa gastos ng pagbabago, pagkatapos i-verify ang mga ruta

Magsimula sa hub, dahil iyon ang mas murang bagay na mapagkamalan, at magdagdag ng direktang tunel para sa mga pares na ang trapiko ay nagbibigay-katwiran. Ang hybrid na iyon ay hindi kabiguan sa pagpapasya; ito ang disenyong pinagsasamahan ng karamihan ng organisasyon sa loob ng isang taon. Ang mahalaga ay bawat direktang link ay may nakasaad na dahilan at may-ari.

Pagkatapos i-verify ang dalawang guhit sa halip na isa. Para sa normal na landas, patakbuhin ang traceroute mula sa bawat site patungo sa bawat service prefix at kumpirmahin na tugma ang mga hop sa diagram. Para sa landas ng pagkasira, isara ang isang tunel at ulitin, dahil ang rutang gumagana lamang habang bukas ang lahat ay hindi dinisenyo, kinonpigura lamang.

Itago ang dalawang guhit kasama ng access matrix, at balikan ang mga ito kapag may idinagdag na site; ang gastos na pinamamahalaan mo ay gastos ng susunod na pagbabago, hindi ang kagandahan ng kasalukuyang larawan.