Filial va laboratoriya o'rtasidagi aloqa uchun marshrutlangan VPN yoki ko'prikli LAN

Filialning uy laboratoriyasiga yetib borishining ikki yo'li bor va farq sozlamada emas. Alohida prefikslar orasida marshrutlashingiz mumkin, shunda har bir sayt o'z translyatsiya domenini saqlaydi, yoki ikkala LANni bittaga ko'prik qilishingiz mumkin, shunda translyatsiyalar va kashfiyot trafigi hamma bir xonada bo'lgandek tutadi. Marshrutlash haqiqiy tarmoq bilan aloqaga bardosh beradigan dizayndir. Ko'priklash birinchi haftani oson, birinchi uzilishni esa qiziqarli qiladigan dizayndir. Quyidagi taqqoslash har biri nima berishi va qanchaga tushishi, so'ngra marshrutlangan variantni qanday sinovdan o'tkazish mumkinligi haqida.

Ulanishning ikki yo'li, bitta ravshan murosa

Marshrutlangan aloqa uy laboratoriyasini o'z manzillashiga ega uzoq tarmoq sifatida ko'radi. Filial laboratoriya prefiksini so'raydi, tunnel bu paketlarni tashiydi va laboratoriya shlyuzi o'z quyi tarmog'idan javob beradi. Filialning ARP jadvalida hech narsa o'zgarmaydi va laboratoriyaning DHCP doirasidan hech narsa filialga yetib bormaydi.

Ko'prikli aloqa bitta 2-qatlam domenini ikkala saytga yoyadi. Kashfiyot protokollari ishlaydi, qurilmalar avtomatik paydo bo'ladi va har bir translyatsiya, har bir ARP so'rovi va har bir multicast paketi endi tunneldan o'tish uchun nomzoddir, ya'ni mahalliy segment uchun qurilgan protokollar tashiydigan va boshqa MTU hamda o'zgaruvchan borish-kelish vaqtiga ega WAN uchun qurilmagan katta hajmdagi trafik.

Marshrutlash nima beradi

Birinchi afzallik — zarar radiusi. Halqa, keraksiz DHCP serveri yoki translyatsiya toshqini uni keltirib chiqargan saytda qoladi, chunki marshrutizator translyatsiyalarni uzatmaydi. Ikkinchisi — manzillash ravshanligi: filial prefiksi va laboratoriya prefiksi farq qiladi, shuning uchun paketning manzili qaysi sayt javob berishi kerakligini aytadi va xavfsizlik devori qoidasi „har yerdan har yerga“ o'rniga „filialdan laboratoriya quyi tarmog'iga“ deyishi mumkin.

Uchinchisi — bu tunnel haqiqatda tashiydigan narsaga mos kelishi. IPsec siyosati prefikslar juftligi va har tomondagi uzatish yo'li shlyuzda uzatish yoqilgan oddiy IP marshrutlashdir:

sysctl -w net.ipv4.ip_forward=1
ip route add 10.20.0.0/24 via 192.168.50.1
ip route get 10.20.0.40

Siz voz kechadigan narsa — translyatsiya orqali kashfiyot. Bu haqiqiy yo'qotish va uni hamma narsani ko'prik qilish bilan chetlab o'tish o'rniga ataylab almashtirish kerak.

Ko'priklashning narxi

Ko'priklash 2-qatlam kadrlarini tunnel orqali tashishi kerak, bu oddiy siyosatga asoslangan tunnel o'rniga IPsec ustidan GRE yoki VXLAN kabi inkapsulyatsiyani anglatadi. Bu mavjud bo'lgach, ikki sayt bitta nosozlik domenini bo'lishadi. Spanning tree tunnelni aloqa deb ko'radi, translyatsiya trafigi tunnel o'tkazuvchanligini sarflaydi va past kechikishli segmentni taxmin qilgan har qanday qurilma ikki uchdan ham bog'lash qiyin bo'lgan tarzda noto'g'ri ishlaydi.

U shuningdek sizni halol ushlab turadigan manzillash tekshiruvini olib tashlaydi. Bitta tekis prefiks bilan takrorlangan manzil marshrutlash xatosi emas, balki bir-birining trafigini jimgina o'g'irlaydigan ikki xostdir va filial bilan laboratoriya o'rtasidagi ustma-ust prefikslar uy laboratoriyasi qurilmalarida keng tarqalgan, shuning uchun ko'priklash bu ziddiyatni hal qilmaydi; uni taqsimlaydi.

Odatda qarorni xavfsizlik dalili beradi. Ko'prik link-local protokollari ishlaydigan segmentni kengaytiradi, shuning uchun filialdagi qurilma tashqaridan ochiq bo'lmasligi kerak bo'lgan laboratoriya qurilmalari bilan gaplasha oladi. Agar laboratoriyada bir xil tekis tarmoqda gipervizor, saqlash konsoli va boshqaruv interfeysi bo'lsa, bu endi filial bilan birga bitta segmentdir.

Translyatsiyasiz nomlar

Odamlar ko'prik qilishining sababi odatda kashfiyot: ro'yxatda hech qachon ko'rinmaydigan printer, media qurilmasi yoki laboratoriya xosti. Marshrutlangan javob — nom xizmati. Laboratoriya xostlarini filial rezolveri yeta oladigan zonada e'lon qiling, so'ngra foydalanuvchilarga tarmoqni skanerlash o'rniga nom bo'yicha ulanishga ruxsat bering. Bu boshida ko'proq ish va har bir kelgusi o'zgarishda ancha kam ish.

Multicast kashfiyoti qiyinroq holat va aniqlikka loyiqdir. mDNS kabi protokollar link-local multicastdan foydalanadi, marshrutizatorlar uni sukut bo'yicha uzatmaydi, shuning uchun kashfiyot ro'yxatida yo'q laboratoriya xosti hujjatlashtirilgan manzilida hali ham ochiq bo'lishi mumkin. Agar ma'lum bir xizmat haqiqatan multicast talab qilsa, butun LANni umumiy tuzatish sifatida ko'prik qilish o'rniga o'sha bitta protokolni reflektor yoki maqsadli uzatish qoidasi bilan rejalashtiring.

Reflektor ham bepul g'alaba emas. U siz qochmoqchi bo'lgan o'sha sergak trafikni birma-bir xizmat sifatida olib kiradi va qurilma avvalgidan ko'proq e'lon qila boshlaganini payqaydigan egasiga muhtoj. Uni har bir xizmat uchun tanlang va nima uchunligini yozib qo'ying. Qaysi xizmat unga muhtoj bo'lganini va u nimani e'lon qilishini qayd eting, chunki proshivka yangilanishi bu ro'yxatni hech kimga aytmasdan o'zgartirishi mumkin.

Marshrutlangan dizaynni sinovdan o'tkaziladigan qiling

Bitta nishonni tanlang, masalan laboratoriyaning o'z server quyi tarmog'idagi veb interfeysini, va uni ikki yo'nalishda isbotlang. Filialdagi xostdan manzilni va tinglayotgan xizmatni mahalliy tekshiring, so'ng tunnel orqali ulaning va takrorlang. Turgan tunnel shlyuzlar kelishganini isbotlaydi; xost xavfsizlik devori yoki qaytish yo'li haqida hech narsa isbotlamaydi.

Laboratoriyaning oddiy shlyuziga filial prefiksiga qaytish yo'li kerak, agar dizayn manbani ataylab tarjima qilmasa, va serverning o'z xavfsizlik devori ruxsat etilgan uzoq diapazonni qabul qilishi kerak. Ikkalasini ham muvaffaqiyatli tunnel sozlamaydi. strongSwan uzatish eslatmalari har tomonda ishlashi kerak bo'lgan paket yo'lini tasvirlaydi.

So'ng rad etilgan manzilni ham sinab ko'ring. Bitta ilovaga muhtoj filial foydalanuvchisiga gipervizor konsoli kerak emas va siyosat haqiqiy ekanini bilishning yagona yo'li u rad etishi kerak bo'lgan narsani sinab ko'rishdir. Prefikslarni, rezolverni bog'liqligini va sinov natijalarini qayd eting, va saytlardan biridagi kelgusi o'zgarish xotiradan qayta qurish o'rniga daqiqalarda ko'rib chiqilishi mumkin.