VPN saytini kengaytirish: shlyuz ortidagi qaytish yo‘lini kuzatib boring

Filialdan kelayotgan trafik sizdan yetib borish so‘ralgan ilovani LAN-da saqlamaydigan shlyuzda tugaydi. Server ikkinchi ma’lumotlar markazida, VPN hech qachon sozlamagan ichki ulanishning narigi tomonida joylashgan. Yaqin shlyuzga yana bitta prefiks qo‘shish bu holat uchun hech narsa qilmaydi, chunki uzoq shlyuz oxirgi marshrutizator emas, shifrlashning oxirgi nuqtasi. Yo‘lga oldinga marshrut, uzoq xavfsizlik chegarasida ruxsat va manzilning o‘z tarmog‘ida qaytish qarori kerak.

Uzoq shlyuz shifrlashning oxirgi nuqtasi

Shlyuzlar orasidagi IPsec ikki xavfsizlik qurilmasi o‘rtasidagi trafikni himoya qiladi va ichki manzillar o‘sha segmentdan shifrlangan holda o‘tadi. Uzoq shlyuzdan narigi tomonda oddiy marshrutlash ishni oladi, ma’lumotlar markazlari o‘rtasida mavjud bo‘lgan har qanday siyosat ham. Shuning uchun himoyalangan segment sayohatning bir qismini qamrab oladi, qolganini emas. Buning aksini taxmin qilish loyihaning sog‘lom tunnel va yetib bo‘lmaydigan ilova bilan tugash yo‘lidir.

Yo‘lni uch qismga bo‘lib chizing: filialdan yaqin shlyuzga, yaqindan uzoqqa, uzoq shlyuzdan ilovaga. Har bir qismning o‘z egasi va o‘z ishdan chiqish usuli bor.

Tunnel siyosatining ikkala yo‘nalishini o‘qing

Tunnel siyosati odatda mahalliy tomon nuqtai nazaridan yoziladi va qisman konfiguratsiyalar aynan shu odatdan kelib chiqadi. Ikkala tomon ham filial manbasini va manzilni tunnel ichida ko‘rinadigan shaklda sanab chiqishi kerak, loyiha ko‘zda tutgan har qanday tarjimani ham qo‘shib. Faqat yaqin uchni yangilash marshrutlash nosozligiga o‘xshab ko‘rinadigan ikkinchi faza nomuvofiqligini keltirib chiqaradi. Har qanday marshrutga tegishdan oldin ikki siyosat to‘plamini solishtiring.

Manba va manzilni sayt nomlari emas, manzillar sifatida yozing. Bu yerdagi noaniqlik keyinroq hayratlanarli asimmetriya sifatida qaytadi.

Oldinga marshrutni qo‘shing va ruxsatni tasdiqlang

Uzoq shlyuzga ilovaning quyi tarmog‘i tomon marshrut kerak va ular orasidagi har bir marshrutizator filial manbasini qabul qilishi kerak. Diagramma da’vo qilganini emas, uzoq shlyuzda haqiqatda nima borligini tekshiring.

ip route get 10.30.5.10 from 10.10.1.50
traceroute -n -s 10.10.1.50 10.30.5.10

Birinchi buyruq uzoq shlyuz o‘sha manba uchun tanlaydigan chiqish interfeysi va keyingi sakrashni xabar qiladi, bu oddiy marshrutlash jadvali javob bera olmaydigan savol. Iz paketlar qayerda to‘xtashini ko‘rsatadi va uzoq shlyuzdan keyingi uzilish tunnelga emas, ichki tranzitga ishora qiladi. Marshrut mavjud bo‘lib, trafik baribir yo‘qolsa, uzoq shlyuzda yozib oling va kelayotgan manba manzilini o‘qing, chunki kutilmagan manzil tarjima qayerdadir rejasiz amalga oshayotganini bildiradi. Bu yerdagi barcha manzillar o‘rinbosar, shuning uchun haqiqiy filial, tranzit va ilova quyi tarmoqlarini qo‘ying.

Filialdan sinab ko‘ring, so‘ng eski yo‘lni qayta sinab ko‘ring

Qabul uchun uzoq shlyuzdan tekshiruv emas, haqiqiy manba kerak. Tekshiruvni filial xostidan ishga tushiring va avval ishlagan manzillarni o‘sha sinovda saqlang.

curl -sS -m 5 http://10.30.5.10:8080/health
ping -c 3 10.20.1.1

Ilovadan kelgan javob oldinga yo‘lni va qaytish yo‘lini birgalikda isbotlaydi, eski manzilga ping esa o‘zgarish avval ishlagan narsani buzmaganini isbotlaydi. Ilova qayd etadigan manba manzilini oling, chunki uning kirish qoidalari va har qanday qaytish marshruti shu qiymatga mos kelishi kerak. Filial tunneldan oldin tarjima qiladigan joyda siyosat manzili va ilova ko‘radigan manzil loyiha bo‘yicha farq qiladi, shuning uchun ikkalasini ham yozib oling. Kalit yangilangandan yoki marshrutlash o‘zgarganidan keyin sinovni takrorlang, chunki bu yo‘llar odatda bir marta tekshiriladi va keyin unutiladi.

Uch segmentning har biriga va manzil tarmog‘i ichidagi qaytish marshrutiga ega tayinlang. To‘rt egasi bo‘lgan yo‘l ular orasidagi bo‘shliqlarda ishdan chiqadi.