Ruted na VPN o LAN na may tulay para sa ugnayan ng sangay at lab

May dalawang paraan para maabot ng isang sangay ang isang lab sa bahay, at ang pagkakaiba ay hindi isang setting. Maaari kang mag-rute sa pagitan ng magkaibang prefix, upang mapanatili ng bawat site ang sarili nitong broadcast domain, o maaari mong tulayin ang dalawang LAN sa isa, upang ang mga broadcast at trapiko ng pagtuklas ay kumilos na parang nasa isang silid ang lahat. Ang rutting ay ang disenyong tumatagal sa pakikipag-ugnayan sa totoong network. Ang pagtatulay ang disenyong nagpapadali sa unang linggo at nagpapainteres sa unang pagkasira. Ang paghahambing sa ibaba ay tungkol sa ibinibigay ng bawat isa at ang halaga nito, at pagkatapos ay kung paano gawing masusubok ang rutted na bersyon.

Dalawang paraan ng pagkonekta, isang malinaw na palitan

Ang rutted na ugnayan ay tinatrato ang lab sa bahay bilang malayong network na may sariling pag-address. Humihingi ang sangay ng prefix ng lab, dinadala ng tunnel ang mga packet na iyon, at sumasagot ang gateway ng lab mula sa sarili nitong subnet. Walang nagbabago sa ARP table ng sangay, at walang bahagi ng DHCP scope ng lab ang nakakarating sa sangay.

Ang binuhing ugnayan ay nagpapalawak ng isang layer 2 domain sa dalawang site. Gumagana ang mga protocol ng pagtuklas, kusang lumalabas ang mga device, at bawat broadcast, bawat ARP request at bawat multicast packet ay kandidato na ngayong tumawid sa tunnel, ibig sabihin ay malaking dami ng trapiko na dinadala ng mga protocol na ginawa para sa lokal na segment at hindi para sa WAN na may ibang MTU at pabagu-bagong oras ng pag-ikot.

Ano ang ibinibigay ng rutting

Ang unang pakinabang ay ang lawak ng pinsala. Ang loop, hindi kagustuhang DHCP server o baha ng broadcast ay nananatili sa site na gumawa nito, dahil hindi ipinapasa ng router ang mga broadcast. Ang pangalawa ay kalinawan ng pag-address: magkaiba ang prefix ng sangay at prefix ng lab, kaya sinasabi ng destinasyon ng packet kung aling site ang dapat sumagot, at ang patakaran ng firewall ay makapagsasabi ng «sangay papuntang subnet ng lab» sa halip na «kahit saan papuntang kahit saan».

Ang pangatlo ay tumutugma ito sa aktwal na dinadala ng tunnel. Ang patakaran ng IPsec ay isang pares ng prefix, at ang daanan ng pagpapasa sa bawat panig ay ordinaryong IP routing na naka-enable ang pagpapasa sa gateway:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Ang isinusuko mo ay ang pagtuklas sa pamamagitan ng broadcast. Tunay itong kawalan, at dapat itong palitan nang sadya sa halip na lusutan sa pamamagitan ng pagtatulay sa lahat.

Ang halaga ng pagtatulay

Kailangang magdala ng layer 2 frames sa tunnel ang pagtatulay, na nangangahulugan ng encapsulation tulad ng GRE o VXLAN sa ibabaw ng IPsec sa halip na simpleng tunnel na nakabatay sa patakaran. Kapag umiiral na ito, nagbabahagi ang dalawang site ng isang failure domain. Nakikita ng spanning tree ang tunnel bilang ugnayan, kumakain ng bandwidth ng tunnel ang trapiko ng broadcast, at ang anumang device na nag-aakala ng segment na mababa ang latency ay mali ang kilos sa mga paraang mahirap iugnay mula sa alinmang dulo.

Tinatanggal din nito ang pagsusuri ng pag-address na nagpapanatili sa iyong tapat. Sa isang flat na prefix, ang duplicate na address ay hindi pagkakamali sa rutting kundi dalawang host na tahimik na nagnanakaw ng trapiko ng isa't isa, at karaniwan sa mga setup ng lab sa bahay ang magkapatong na prefix ng sangay at lab, kaya hindi nilulutas ng pagtatulay ang tunggalian na iyon; ipinapamahagi nito ito.

Ang argumento sa seguridad ang kadalasang nagpapasya. Pinalalawak ng tulay ang segment kung saan gumagana ang mga link-local protocol, kaya makakausap ng device sa sangay ang mga device ng lab na hindi kailanman dapat maabot mula sa labas. Kung ang lab ay may hypervisor, storage console at management interface sa parehong flat na network, isa na itong segment kasama ng sangay.

Mga pangalan na walang broadcast

Ang dahilan ng mga tao sa pagtatulay ay kadalasan pagtuklas: isang printer, media device o host ng lab na hindi kailanman lumalabas sa listahan. Ang rutted na sagot ay isang serbisyo ng pangalan. I-publish ang mga host ng lab sa zone na maaabot ng resolver ng sangay, pagkatapos ay hayaang kumonekta ang mga user sa pamamagitan ng pangalan sa halip na i-scan ang network. Mas maraming trabaho ito sa simula at mas kaunti sa bawat pagbabago sa hinaharap.

Ang multicast na pagtuklas ang mas mahirap na kaso, at karapat-dapat itong bigyan ng katumpakan. Gumagamit ang mga protocol tulad ng mDNS ng link-local multicast, na hindi ipinapasa ng mga router bilang default, kaya ang host ng lab na nawawala sa listahan ng pagtuklas ay maaaring maabot pa rin sa dokumentadong address nito. Kung ang isang partikular na serbisyo ay talagang nangangailangan ng multicast, planuhin ang isang protocol na iyon, gamit ang reflector o naka-target na tuntunin ng pagpapasa, sa halip na tulayin ang buong LAN bilang pangkalahatang pag-aayos.

Ang reflector ay hindi rin libreng tagumpay. Nag-aangkat ito ng parehong madaldal na trapiko na sinusubukan mong iwasan, isang serbisyo sa isang pagkakataon, at kailangan nito ng may-ari na makakapansin kapag nagsimulang mag-anunsyo ang isang device ng higit pa kaysa dati. Piliin ito bawat serbisyo, at isulat kung bakit. Itala kung aling serbisyo ang nangailangan nito at ano ang inaanunsyo nito, dahil ang pag-update ng firmware ay maaaring magbago ng listahang iyon nang hindi sinasabi sa kahit kanino.

Gawing masusubok ang rutted na disenyo

Pumili ng isang target, halimbawa ang web interface ng lab sa sarili nitong server subnet, at patunayan ito sa dalawang direksyon. Mula sa isang host sa sangay, kumpirmahin ang address at ang serbisyong nakikinig nang lokal, pagkatapos ay kumonekta sa tunnel at ulitin. Ang nakatayong tunnel ay nagpapatunay na nagkakasundo ang mga gateway; tungkol sa firewall ng host o sa daan pabalik ay wala itong pinapatunayan.

Ang normal na gateway ng lab ay nangangailangan ng rutang pabalik sa prefix ng sangay maliban kung sadyang isinasalin ng disenyo ang pinagmulan, at ang firewall ng server mismo ay dapat tumanggap ng pinapayagang malayong saklaw. Wala sa dalawang ito ang na-configure ng isang matagumpay na tunnel. Inilalarawan ng mga tala ng pagpapasa ng strongSwan ang daanan ng packet na dapat gumana sa bawat panig.

Pagkatapos ay subukan din ang isang tinanggihang destinasyon. Ang user ng sangay na nangangailangan ng isang aplikasyon ay hindi nangangailangan ng hypervisor console, at ang tanging paraan para malaman na totoo ang patakaran ay subukan mismo ang dapat nitong tanggihan. Itala ang mga prefix, ang pag-asa sa resolver at ang mga resulta ng pagsubok, at ang pagbabago sa hinaharap sa alinmang site ay masusuri sa loob ng ilang minuto sa halip na itayo muli mula sa alaala.