Yulduz yoki toʻliq toʻr: qaysi VPN topologiyasi saytlaringizga mos keladi
Ikkita ishlayotgan tunnel hali topologiya emas. Markaz, toʻliq toʻr yoki bir nechta toʻgʻridan-toʻgʻri havolali markazni tanlashdan oldin tranzitni, nosozlikdagi xatti-harakatni va oʻzgarish narxini solishtiring.
Ikki filial ofisi kun boʻyi bir-biri bilan gaplashadi, ular orasidagi tunnel esa boshqa mintaqadagi maʼlumotlar markazi orqali aylanib oʻtadi. Har bir soʻrov bu aylanma yoʻl uchun ikki marta toʻlaydi va fayl sinxronizatsiyasi gʻalati tuyula boshlaguncha hech kim sezmaydi. Topologiya savoli aynan shu yerda boshlanadi: qaysi sxema ishonchliroq koʻrinishida emas, qaysi trafik andozasi uchun toʻlayotganingizda. Ikkala loyiha ham ishlaydi va ikkalasi ham turli yoʻllar bilan, turli narxlarda ishdan chiqadi.
Avvalo peer munosabatlari sonini sanang
N ta sayt boʻlsa, toʻliq toʻr N ni N minus birga koʻpaytirib, ikkiga boʻlingan miqdorda tunnel talab qiladi; markazga esa N yetadi. Besh saytda bu oʻnga qarshi besh, hali koʻtarish mumkin koʻrinadi. Oʻn besh saytda bu 105 ga qarshi oʻn besh boʻladi va farq endi arifmetik emas, kadrlar masalasi.
Bu munosabatlarning har biri siz egalik qilishingiz kerak boʻlgan holatni olib yuradi. IPsec da bu xavfsizlik assotsiatsiyasi, identifikatsiya, kalit yoki sertifikat, oʻlik peerni aniqlash va har bir masofaviy prefiks uchun kamida bitta marshrut demakdir. WireGuard da bu har bir peer uchun ochiq kalit va AllowedIPs bloki; peer boshiga arzonroq, lekin umuman aniqlash yoʻq: yangi sayt baribir barcha mavjudlarida konfiguratsiya oʻzgarishini talab qiladi.
Qarorni chizma emas, trafik tarkibi qabul qilsin
Agar filial trafigi asosan markaziy ERP yoki fayl klasteriga soʻrovlar boʻlsa, markaz murosa emas, toʻgʻri shakl: trafik allaqachon u yerga ketmoqchi edi, bitta siyosat nuqtasini esa juft qoidalar toʻridan koʻra osonroq audit qilish mumkin. Toʻliq toʻr oʻz murakkabligini filiallar oʻzaro maʼlumot almashganda oqlaydi: ikki ofis oʻrtasidagi replikatsiya, saytlar orasidagi ovoz, oʻnlab muhandis kun boʻyi ochadigan CAD ulashmasi.
Noqulay holatlar oʻrtada yotadi va ular koʻpchilik. Tashkilot sxemasidan taxmin qilish oʻrniga bahslashishdan oldin oʻlchang.
| Signal | Points to a hub | Points to a mesh |
|---|---|---|
| Branch-to-branch traffic | Occasional, small | Dominant, all day |
| Site count | Growing, past ten | Small and stable |
| Change rate | Frequent adds and moves | Rare |
| Failure tolerance | A second hub is affordable | Every site must survive alone |
Jadvalni qoida emas, hal qiluvchi omil sifatida oʻqing. Toʻrt qatordan uchtasi bir tomonga ishora qilsa, odatda loyiha hal boʻladi, boʻlinish esa gibrid degani, koʻp yetuk tarmoqlar oxir-oqibat shuni ishlatadi.
Markazga yoʻnaltirish kerakligini aytish zarur
Ishlayotgan ikkita filial-markaz tunneli filiallar orasida kirish yaratmaydi. Markazda IP yoʻnaltirish yoqilgan, har bir filial tarmogʻiga marshrut, tranzitga ruxsat beruvchi xavfsizlik devori qoidasi va qaytish yoʻli hisoblangan boʻlishi kerak; har bir filialga boshqa sayt prefikslariga marshrut kerak. Linux markazida bu net.ipv4.ip_forward=1 va juftlikni jimgina tashlab yubormaydigan FORWARD zanjiri, siyosatga asoslangan IPsec da esa ikkala uchida masofaviy filial quyi tarmogʻini koʻrsatuvchi trafik selektorlari. strongSwan yoʻnaltirish boʻyicha eslatmalar aynan shu qatlam yetishmayotganda yadro va xavfsizlik devori tomonini qamrab oladi. Arzon sinov: bir filialdan ikkinchisidagi xizmatga trafik yuborib, markaz hisoblagichlarini kuzatish; hech qachon oʻsmaydigan qoida marshrut emas, tartib notoʻgʻri ekanini bildiradi.
Markaziy siyosat ham foydali qism. Filiallarga umumiy xizmatlarga yetishga ruxsat berib, bir-biriga yetishmasligi mumkin, va bu kirish matritsasini aniq yozib qoʻyishga arziydi. Yetishmayotgan marshrutlar odam oʻqiy oladigan qoidaning yomon oʻrnini bosuvchisidir.
Yarim qilingan versiyadan ehtiyot boʻling: A filiali markaz orqali B filialiga yoʻnaltiradi, markaz ikki tomonga yoʻnaltiradi, markazning xavfsizlik devori esa A dan yangi ulanishlarga ruxsat beradi, B dan bermaydi. Birinchi yoʻnalish yaxshi sinovdan oʻtadi, ikkinchisi osilib qoladi, bu marshrutlash nosozligiga oʻxshaydi, lekin unday emas.
Avval nosozlikni, keyin oddiy yoʻlni loyihalang
Bitta markaz umumiy bogʻliqlik va tranzit tiqilib qolishi, zaxiralash esa markaz loyihalari odatda xato qiladigan joy. Ikki markaz har bir filial ikkita tunnel ushlab turishini bildiradi, qaytish yoʻli esa chiqish yoʻli bilan mos kelishi kerak; mos kelmasa, holatni kuzatuvchi xavfsizlik devori javoblarni tashlab yuboradi va alomat ochilib keyin oʻladigan ulanish boʻladi. Kattaroq joylashtirishlar buni statik prefikslar oʻrniga tunnellar ustidagi marshrutlash protokoli bilan hal qiladi: koʻproq mexanizm, lekin taxmin yoʻqoladi. Nima tanlasangiz ham, qaytish yoʻlini chiqish yoʻli yoniga yozing, chunki hech kim sinamaydigan yarmi — aynan qaytish yarmi.
Toʻliq toʻr bu xavfni tarqatadi: bir saytning havolasi uzilishi boshqalarni izolyatsiya qilmaydi. Lekin u yoʻl tanlash sizni ajablantirishi mumkin boʻlgan joylarni ham koʻpaytiradi, ilova seanslari esa yordamsiz yoʻl oʻzgarishidan omon qolmaydi.
Hech bir loyiha TCP seansini uzilish davomida oʻz-oʻzidan tirik ushlab turolmaydi. Agar ilova qayta ulana olmasa, topologiya sizning muammoingiz emas.
Oʻzgarish narxi boʻyicha tanlang, keyin marshrutlarni tekshiring
Markazdan boshlang, chunki xato qilish arzonroq boʻlgan narsa shu, va trafigi buni oqlaydigan juftliklar uchun toʻgʻridan-toʻgʻri tunnellar qoʻshing. Bu gibrid qaror qabul qila olmaslik emas; bu koʻpchilik tashkilotlar bir yil ichida keladigan loyiha. Muhimi — har bir toʻgʻridan-toʻgʻri havolaning aytilgan sababi va egasi boʻlishi.
Keyin bitta emas, ikkita chizmani tekshiring. Oddiy yoʻl uchun har bir saytdan har bir xizmat prefiksiga traceroute ishga tushirib, sakrashlar diagrammaga mos kelishini tasdiqlang. Nosozlik yoʻli uchun bitta tunnelni yopib, takrorlang, chunki hamma narsa ishlab turgandagina ishlaydigan marshrut loyihalanmagan, faqat sozlangan.
Ikkala chizmani kirish matritsasi bilan birga saqlang va sayt qoʻshilganda ularga qayta murojaat qiling; siz boshqarayotgan narx — keyingi oʻzgarish narxi, hozirgi rasmning nafisligi emas.