Şube ile laboratuvar arasındaki bağlantı için yönlendirilmiş VPN mi köprülenmiş LAN mı

Bir şubenin ev laboratuvarına ulaşmasının iki yolu vardır ve fark bir ayar değildir. Ayrı önekler arasında yönlendirme yapabilirsiniz, böylece her site kendi yayın alanını korur, ya da iki LAN'ı tek bir LAN'a köprüleyebilirsiniz, böylece yayınlar ve keşif trafiği herkes aynı odadaymış gibi davranır. Yönlendirme, gerçek bir ağla teması atlatan tasarımdır. Köprüleme, ilk haftayı kolay ve ilk kesintiyi ilginç kılan tasarımdır. Aşağıdaki karşılaştırma her birinin ne verdiği ve neye mal olduğu, ardından yönlendirilmiş sürümün nasıl test edilebilir kılınacağı hakkındadır.

İki bağlantı yolu, tek belirgin ödünleşim

Yönlendirilmiş bir bağlantı, ev laboratuvarını kendi adreslemesi olan uzak bir ağ olarak ele alır. Şube laboratuvar önekini ister, tünel bu paketleri taşır ve laboratuvar ağ geçidi kendi alt ağından yanıt verir. Şubenin ARP tablosunda hiçbir şey değişmez ve laboratuvarın DHCP kapsamından hiçbir şey şubeye ulaşmaz.

Köprülenmiş bir bağlantı, tek bir 2. katman alanını iki siteye yayar. Keşif protokolleri çalışır, cihazlar otomatik olarak görünür ve her yayın, her ARP isteği ve her multicast paketi artık tüneli geçmek için bir adaydır; bu, yerel bir segment için tasarlanmış protokollerin taşıdığı ve farklı MTU ile değişken gidiş-dönüş süresine sahip bir WAN için tasarlanmamış büyük miktarda trafiktir.

Yönlendirmenin size kazandırdıkları

İlk fayda hasar yarıçapıdır. Bir döngü, istenmeyen bir DHCP sunucusu veya yayın seli, onu üreten sitede kalır çünkü bir yönlendirici yayınları iletmez. İkincisi adresleme netliğidir: şube öneki ile laboratuvar öneki farklıdır, bu yüzden bir paketin hedefi hangi sitenin yanıtlaması gerektiğini söyler ve bir güvenlik duvarı kuralı „her yerden her yere” yerine „şubeden laboratuvar alt ağına” diyebilir.

Üçüncüsü, tünelin gerçekte ne taşıdığıyla eşleşmesidir. Bir IPsec ilkesi bir önek çiftidir ve her iki taraftaki iletim yolu, ağ geçidinde iletim etkinleştirilmiş sıradan IP yönlendirmesidir:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Vazgeçtiğiniz şey, yayın yoluyla keşiftir. Bu gerçek bir kayıptır ve her şeyi köprüleyerek etrafından dolaşmak yerine bilinçli olarak değiştirilmelidir.

Köprülemenin maliyeti

Köprüleme, 2. katman çerçevelerini bir tünel üzerinden taşımak zorundadır; bu, düz ilke tabanlı bir tünel yerine IPsec üzerinden GRE veya VXLAN gibi bir kapsülleme anlamına gelir. Bu var olduğunda, iki site bir arıza alanını paylaşır. Spanning tree tüneli bir bağlantı olarak görür, yayın trafiği tünel bant genişliğini tüketir ve düşük gecikmeli bir segment varsayan her cihaz, iki uçtan da ilişkilendirilmesi zor biçimlerde yanlış davranır.

Ayrıca sizi dürüst tutan adresleme denetimini kaldırır. Tek düz bir önekle, yinelenen bir adres yönlendirme hatası değil, birbirinin trafiğini sessizce çalan iki ana bilgisayardır ve bir şube ile bir laboratuvar arasındaki çakışan önekler ev laboratuvarı kurulumlarında yaygındır, bu yüzden köprüleme bu çakışmayı çözmez; onu dağıtır.

Genellikle kararı veren güvenlik argümanıdır. Bir köprü, link-local protokollerin çalıştığı segmenti genişletir, bu yüzden şubedeki bir cihaz, dışarıdan erişilebilir olmaması gereken laboratuvar cihazlarıyla konuşabilir. Laboratuvarda aynı düz ağda bir hipervizör, bir depolama konsolu ve bir yönetim arayüzü varsa, bu artık şubeyle birlikte tek bir segmenttir.

Yayın olmadan adlar

İnsanların köprülemesinin nedeni genellikle keşiftir: bir yazıcı, bir medya oynatıcı veya bir listede asla görünmeyen bir laboratuvar ana bilgisayarı. Yönlendirilmiş yanıt bir ad hizmetidir. Laboratuvar ana bilgisayarlarını şubenin çözümleyicisinin ulaşabileceği bir bölgede yayımlayın, sonra kullanıcıların ağı taramak yerine adla bağlanmasına izin verin. Bu başlangıçta daha fazla iş ve her gelecekteki değişiklikte belirgin biçimde daha az iştir.

Multicast keşfi daha zor durumdur ve kesinliği hak eder. mDNS gibi protokoller, yönlendiricilerin varsayılan olarak iletmediği link-local multicast kullanır, bu yüzden bir keşif listesinde eksik olan bir laboratuvar ana bilgisayarı belgelenmiş adresinde hâlâ erişilebilir olabilir. Belirli bir hizmet gerçekten multicast gerektiriyorsa, tüm LAN'ı genel bir onarım olarak köprülemek yerine o tek protokolü bir yansıtıcı veya hedefli bir iletim kuralıyla planlayın.

Yansıtıcı da bedava bir kazanç değildir. Kaçınmaya çalıştığınız aynı geveze trafiği, tek seferde bir hizmet olarak içeri alır ve bir cihazın eskisinden daha fazlasını duyurmaya başladığını fark edecek bir sahibe ihtiyaç duyar. Hizmet bazında seçin ve nedenini yazın. Hangi hizmetin buna ihtiyacı olduğunu ve ne duyurduğunu kaydedin, çünkü bir ürün yazılımı güncellemesi bu listeyi kimseye söylemeden değiştirebilir.

Yönlendirilmiş tasarımı test edilebilir kılın

Bir hedef seçin, örneğin laboratuvarın kendi sunucu alt ağındaki bir web arayüzünü, ve iki yönde de kanıtlayın. Şubedeki bir ana bilgisayardan adresi ve dinleyen hizmeti yerel olarak doğrulayın, sonra tünelden bağlanın ve tekrarlayın. Ayakta olan bir tünel, ağ geçitlerinin anlaştığını kanıtlar; ana bilgisayarın güvenlik duvarı veya dönüş yolu hakkında hiçbir şey kanıtlamaz.

Laboratuvarın normal ağ geçidi, tasarım kaynağı bilinçli olarak çevirmedikçe şube önekine geri bir yol gerektirir ve sunucunun kendi güvenlik duvarı izin verilen uzak aralığı kabul etmelidir. İkisi de başarılı bir tünel tarafından yapılandırılmaz. strongSwan iletim notları her tarafta çalışması gereken paket yolunu açıklar.

Sonra reddedilen bir hedefi de test edin. Tek bir uygulamaya ihtiyaç duyan bir şube kullanıcısı hipervizör konsoluna ihtiyaç duymaz ve ilkenin gerçek olduğunu bilmenin tek yolu tam olarak reddetmesi gereken şeyi denemektir. Önekleri, çözümleyici bağımlılığını ve test sonuçlarını kaydedin; sitelerden birindeki gelecekteki bir değişiklik, bellekten yeniden kurulmak yerine dakikalar içinde gözden geçirilebilir.