Lab tại nhà và tunnel chia tách: chỉ định tuyến những gì cần, không phải tất cả

Lời khuyên rằng lab tại nhà cần tunnel đầy đủ thường đến từ một bài hướng dẫn có nó, không phải từ yêu cầu. Tunnel chia tách không phải phiên bản thỏa hiệp của một VPN đúng nghĩa; đó là phiên bản mà bạn có thể giải thích bảng định tuyến của nó. Một lab có năm dịch vụ và một giao diện quản trị không cần mọi gói tin rời khỏi nhà đều đi qua tunnel. Điều nó cần là một bản kiểm kê và một tuyến cho từng mục trong bản kiểm kê đó.

Huyền thoại: tunnel chia tách là một thỏa hiệp

Huyền thoại tồn tại vì tunnel đầy đủ dễ cấu hình một lần và khó gỡ lỗi về sau. Sự đánh đổi đó hợp lý với laptop trên Wi-Fi công cộng và sai với một giá rack trong tầng hầm.

Nó cũng che giấu giả định thứ hai: địa chỉ hóa của lab không có điểm chung nào với mạng mà bạn kết nối tới.

Kiểm kê tài nguyên trước các tuyến

Ghi lại từng subnet của lab, dịch vụ sống ở đó, tên bạn dùng để phân giải nó và ai được phép tiếp cận nó; các ghi chú chuyển tiếp cho gateway của bạn mô tả đường quay về mà bạn đang dựa vào để lập kế hoạch. Thêm các dải container và các dải LAN mà client từ xa có thể đã dùng, vì chồng lấn là lỗi mà bản kiểm kê này ngăn ngừa. Một tuyến bao trùm mọi địa chỉ riêng sẽ đụng độ với mạng gia đình sớm muộn. Bản kiểm kê cũng là kế hoạch kiểm thử, vì thế đáng làm trước khi cấu hình chứ không phải sau.

Gán cho mỗi tài nguyên một đường: qua tunnel, trực tiếp hoặc bị từ chối. Tài nguyên không có đường được gán là thứ sau này tạo ra câu hỏi hỗ trợ khó hiểu.

Năm hàng và một cột quyết định thắng một bảng định tuyến mà không ai đọc được.

Gateway cần một đường quay về

Chuyển tiếp trên gateway chỉ là một nửa. Lab cần một tuyến quay lại bể client, hoặc một cách bố trí dịch địa chỉ được hỗ trợ để việc quay về là khả thi. Nếu các phản hồi không tìm thấy client, tunnel trông như đã kết nối và mọi yêu cầu hết thời gian; đó là triệu chứng định tuyến, không phải sự cố VPN. Kiểm tra đường quay về như một phần của thiết kế, không phải bước xử lý sự cố.

Một bể client chồng lấn với địa chỉ hóa của chính lab là nửa còn lại của vấn đề này, và nó thất bại theo đúng cách đó.

Sửa kế hoạch, không phải triệu chứng, khi hai dải đụng nhau.

Vai trò quản trị và internet là riêng biệt

Quyết định xem chỉ lưu lượng của lab dùng tunnel hay nó cũng trở thành lối ra internet. Đừng thêm tuyến mặc định chỉ vì một bài hướng dẫn đã dùng, vì quyết định đó thay đổi nơi mọi truy vấn DNS và mọi lần kiểm tra cập nhật đi tới. Giữ một đường bên ngoài tới chính điểm cuối VPN, nếu không tunnel sẽ cố mang theo kết nối bên ngoài của chính nó. Giữ quyền truy cập quản trị hẹp và tiếp cận được qua một phương thức khôi phục đã được phê duyệt.

Có thể chọn DNS riêng cho tên của lab mà không giả định mọi truy vấn công cộng cần cùng một bộ phân giải. Đó là quyết định của bộ phân giải, không phải quyết định của tuyến.

Việc tách chúng ra chính là thứ làm cho các chế độ lỗi có thể phân biệt về sau.

Kiểm thử từ bên ngoài, không phải từ LAN

Dùng một kết nối bên ngoài được cấp phép thay vì kiểm thử từ cùng LAN, vì kiểm thử từ cùng LAN có thể che giấu hoàn toàn một tuyến quay về bị thiếu. Xác minh một địa chỉ của lab, tên máy chủ riêng của nó, đích trực tiếp dự định và hành vi lỗi theo yêu cầu. Trường hợp lỗi quan trọng ngang trường hợp thành công: một tài nguyên không nên tiếp cận được phải thực sự không tiếp cận được. Ghi lại cả bốn kết quả trước khi nói thiết kế đã xong.

Sau đó lưu cấu hình tuyến và DNS bên cạnh bản kiểm kê, kèm tên chủ sở hữu. Khi lab có thêm một subnet, cập nhật cả hai và kiểm thử lại.

Một tuyến không được giải thích chồng lấn với mạng gia đình hiện có là kết quả mặc định của việc bỏ qua bước đó.

Thiết kế hoàn chỉnh thì nhỏ, có tài liệu và nhàm chán, và đó chính xác là điều một lab muốn từ mạng của mình. Phiên bản thú vị là phiên bản hỏng khi bạn ở xa nhà.