Pagpapalawak ng site ng VPN: sundan ang ruta ng pagbabalik lampas sa gateway

Ang trapiko mula sa isang sangay ay nagtatapos sa isang gateway na ang LAN ay walang aplikasyong hiniling sa iyong maabot. Ang server ay nasa pangalawang data center, sa kabilang panig ng panloob na link na hindi kailanman na-configure ng VPN. Ang pagdaragdag ng isa pang prefix sa malapit na gateway ay walang ginagawa para sa kasong iyon, dahil ang malayong gateway ay endpoint ng encryption, hindi ang huling router. Ang ruta ay nangangailangan ng rutang pasulong, isang pagtanggap sa malayong hangganan ng seguridad at isang desisyon sa pagbabalik sa sariling network ng destinasyon.

Ang malayong gateway ay endpoint ng encryption

Pinoprotektahan ng IPsec sa pagitan ng mga gateway ang trapiko sa pagitan ng dalawang kagamitang pangseguridad, at ang mga panloob na address ay naglalakbay sa bahaging iyon nang naka-encrypt. Lampas sa malayong gateway, ang karaniwang routing ang pumapalit, kabilang ang anumang patakaran na umiiral sa pagitan ng mga data center. Kaya ang protektadong bahagi ay sumasaklaw sa bahagi ng paglalakbay at hindi ang natitira. Ang pag-akala ng kabaligtaran ang paraan kung paano nagtatapos ang isang disenyo sa isang malusog na tunnel at isang aplikasyong hindi maabot.

Iguhit ang ruta sa tatlong bahagi: sangay papunta sa malapit na gateway, malapit papunta sa malayo, malayong gateway papunta sa aplikasyon. Bawat bahagi ay may sariling may-ari at sariling paraan ng pagkabigo.

Basahin ang dalawang direksyon ng patakaran ng tunnel

Ang patakaran ng tunnel ay karaniwang isinusulat mula sa pananaw ng lokal na panig, at mula sa gawiing iyon nagmumula ang mga bahagyang configuration. Dapat ilista ng dalawang peer ang pinagmulan ng sangay at ang destinasyon ayon sa lalabas sa loob ng tunnel, kabilang ang anumang pagsasaling nilalayon ng disenyo. Ang pag-update lamang sa malapit na dulo ay gumagawa ng hindi pagkakatugma sa ikalawang yugto na mukhang pagkabigo ng routing. Ihambing ang dalawang hanay ng patakaran bago hawakan ang anumang ruta.

Isulat ang pinagmulan at destinasyon bilang mga address sa halip na mga pangalan ng site. Ang kalabuan dito ay muling lumalabas mamaya bilang nakalilitong asimetriya.

Idagdag ang rutang pasulong at kumpirmahin ang pagtanggap

Ang malayong gateway ay nangangailangan ng ruta patungo sa subnet ng aplikasyon, at bawat router sa pagitan nila ay dapat tumanggap sa pinagmulan ng sangay. Beripikahin kung ano talaga ang mayroon sa malayong gateway sa halip na kung ano ang sinasabi ng diagram.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Ang unang utos ay nag-uulat ng interface ng labasan at susunod na hop na pipiliin ng malayong gateway para sa pinagmulang iyon, isang tanong na hindi masasagot ng ordinaryong routing table. Ipinapakita ng trace kung saan humihinto ang mga packet, at ang pagkaputol pagkatapos ng malayong gateway ay tumutukoy sa panloob na transit at hindi sa tunnel. Kapag umiiral ang ruta at nawawala pa rin ang trapiko, kumuha ng capture sa malayong gateway at basahin ang papasok na address ng pinagmulan, dahil ang hindi inaasahang address ay nangangahulugang may pagsasaling nagaganap sa isang lugar na hindi pinlano. Ang lahat ng address dito ay placeholder, kaya palitan ng tunay na subnet ng sangay, transit at aplikasyon.

Subukan mula sa sangay, pagkatapos ay subukan muli ang lumang ruta

Ang pagtanggap ay nangangailangan ng tunay na pinagmulan sa halip na pagsisiyasat mula sa malayong gateway. Patakbuhin ang pagsusuri mula sa host ng sangay at panatilihin ang mga destinasyong dating gumagana sa parehong pagsubok.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Ang tugon mula sa aplikasyon ay nagpapatunay nang sabay sa rutang pasulong at daan pabalik, habang ang ping sa lumang destinasyon ay nagpapatunay na hindi sinira ng pagbabago ang dating gumagana. Kunin ang address ng pinagmulan na nila-log ng aplikasyon, dahil ang mga tuntunin sa pag-access nito at anumang rutang pabalik ay dapat tumugma sa halagang iyon. Kung saan nagsasalin ang sangay bago ang tunnel, ang address sa patakaran at ang address na nakikita ng aplikasyon ay magkaiba ayon sa disenyo, kaya itala ang dalawa. Ulitin ang pagsubok pagkatapos ng pag-renew ng key o pagbabago ng routing, dahil ang mga rutang ito ay karaniwang bineberipika nang isang beses at pagkatapos ay nakakalimutan.

Magtalaga ng may-ari sa bawat isa sa tatlong bahagi at sa rutang pabalik sa loob ng network ng destinasyon. Ang rutang may apat na may-ari ay nabibigo sa mga puwang sa pagitan nila.