Hai LAN trên NetBird: peer nào định tuyến và ai được nói

Một máy trạm trên LAN phía tây mở trình duyệt, gõ địa chỉ của một ứng dụng trên LAN phía đông và chờ đến khi hết thời gian. Mọi màn hình NetBird đều nói các peer đã kết nối, điều đó đúng nhưng không phải vấn đề: ở trong một mạng chồng lấp không giống với việc có hai mạng con cục bộ trong một mạng. Hành trình bên dưới bắt đầu từ máy trạm đó và kết thúc bằng một yêu cầu mà thiết kế cố ý từ chối, và mỗi điểm dừng là thứ đọc được từ thiết bị chứ không phải đoán. Hãy mong phần còn thiếu là một tuyến hoặc một chính sách, không phải lớp chồng lấp.

Đọc lỗi từ máy trạm trước

Trước khi mở bảng điều khiển quản trị, hãy xác định máy trạm thực sự gửi gì. Bảng định tuyến của chính nó quyết định gói tin đi đến cổng của site, đến một giao diện cục bộ hay không đi đâu cả, và quyết định đó hiển nhiên mà không cần bất kỳ công cụ chồng lấp nào. Một máy không có tuyến cho tiền tố xa sẽ thất bại, dù danh sách peer trông khỏe đến đâu. Dải chồng lấp và tiền tố riêng của site là những không gian địa chỉ khác nhau, và việc đăng ký chỉ cấu hình một trong hai.

Tiếp theo, tách phân giải tên khỏi khả năng tiếp cận, vì trình duyệt báo cả hai là cùng một lần hết thời gian. Lặp lại yêu cầu theo địa chỉ từ máy chạy ứng dụng khách NetBird, rồi từ một máy trạm thường không chạy nó. Nếu máy đã đăng ký thành công còn máy thường thất bại, khoảng trống nằm ở định tuyến cục bộ; nếu cả hai đều thất bại, hãy đọc tiếp trước khi đổi tuyến.

Chọn một peer định tuyến cho mỗi site

Peer định tuyến là máy chủ đại diện cho LAN của nó trên lớp chồng lấp, nên hãy chọn một máy Linux có khả năng tiếp cận ổn định tới mạng con thay vì máy trạm trên bàn của ai đó. Đăng ký nó theo quy trình thông thường và đặt vào một nhóm mang tên vai trò, vì tài nguyên mạng và chính sách đều sẽ tham chiếu nhóm đó. Một đại diện cho mỗi site vẫn dễ đọc; một đám tình nguyện viên quảng bá cùng tiền tố sẽ biến mọi câu hỏi sau đó thành một buổi gỡ lỗi. Địa chỉ của peer trên phân đoạn cục bộ quan trọng ngang với danh tính của nó trên lớp chồng lấp, vì địa chỉ đó trở thành bước nhảy tiếp theo được nói cho mọi thiết bị thường.

Viết kế hoạch trước khi chạm vào bảng điều khiển, vì tên và tiền tố là nơi các thiết kế này trôi dạt: tiền tố, cổng, địa chỉ peer và nhóm, cho mỗi site. Phía tây là 10.52.0.0/24 được 10.52.0.5 phục vụ và phía đông là 10.63.0.0/24 được 10.63.0.5 phục vụ; hai nhóm là west-routers và east-routers, và không tiền tố nào được chồng lên cái kia, lên dải chồng lấp hay lên một đích được định tuyến khác.

Tạo tài nguyên, giữ chế độ che địa chỉ

Trong bảng điều khiển đã triển khai, tạo một tài nguyên mạng cho mỗi site và gắn nhóm peer định tuyến của site đó vào nó. Tài nguyên là tiền tố và nhóm là máy chủ trả lời cho nó, và cả hai phải tồn tại trước khi bất cứ điều gì được quảng bá. Xác nhận rằng phiên bản tự lưu trữ đã triển khai có quy trình làm việc Mạng, vì một giao diện cũ hơn với đối tượng tuyến có tên tương tự là tính năng khác.

Giữ chế độ che địa chỉ. Hướng dẫn site-to-site của NetBird yêu cầu nó trong cách bố trí này, và tắt nó để mọi địa chỉ gốc vẫn hiển thị không phải là cùng một thiết kế với một bước nhảy ít hơn; nó thay đổi những gì các kiểm tra nguồn và chính sách của lớp chồng lấp nhìn thấy. Hệ quả nên được nói thẳng: dịch vụ nhận ghi nhận peer định tuyến là nguồn, không phải máy trạm riêng lẻ. Nếu danh sách cho phép hoặc kiểm toán của dịch vụ đó mong đợi địa chỉ máy trạm, hoặc kỳ vọng thay đổi hoặc danh tính phải được áp đặt tại ranh giới site trước khi dịch.

Trao quyền cho bên khởi tạo, không phải tiền tố

Tuyến làm cho một địa chỉ có thể tiếp cận và chính sách quyết định ai được dùng nó; đây là hai đối tượng riêng biệt với chủ sở hữu riêng. Viết chính sách ngược từ khối lượng công việc: nhóm nào khởi tạo, nhắm tài nguyên nào và cần dịch vụ TCP nào. Một mạng quảng bá cả hai tiền tố cho mọi peer đã đăng ký thì đã tạo ra khả năng tiếp cận và chưa giải quyết gì.

Sau đó đọc xem còn gì đã được cho phép, vì một quy tắc mới hẹp không thu hồi một quy tắc cũ rộng nằm phía trên nó. Khi phía đông cũng phải bắt đầu kết nối về phía tây, hãy viết hướng đó thành chính sách riêng; lưu lượng trả về cho phiên do phía tây mở là câu hỏi khác với việc cho phép phiên mới về phía đông. Nếu chỉ một số máy trạm phía tây được tiếp cận ứng dụng phía đông, hãy chọn chúng tại ranh giới site trước khi dịch và giữ nguyên xác thực của chính ứng dụng. Peer định tuyến mang lưu lượng LAN như toàn bộ site chứ không như danh tính chồng lấp theo người dùng, nên kế toán theo người dùng phải đến từ nơi khác.

Dạy từng cổng bước nhảy tiếp theo, rồi thử một lần từ chối

Các thiết bị thường không bao giờ thấy lớp chồng lấp, nên cổng riêng của chúng cần một tuyến tĩnh trỏ tiền tố xa đến địa chỉ LAN của peer định tuyến. Đây là bước mà người ta bỏ qua, vì mọi thứ hiển thị bên trong NetBird đã hoạt động trong khi máy trạm thường vẫn hết thời gian. Cổng giữ nguyên tuyến mặc định như cũ; tiền tố này là phần thêm vào, không phải thay thế.

Hai mô tả tuyến thuộc cấu hình cổng của từng site, không phải ghi đè trên máy chủ. Cả hai đều là tuyến tĩnh thường, và không cái nào chạm vào tuyến mặc định:

west gateway: 10.63.0.0/24 via 10.52.0.5
east gateway: 10.52.0.0/24 via 10.63.0.5

Thử với ứng dụng mà dự án thực sự cần, từ một máy trạm thường, và ghi lại ba thứ: bước nhảy tiếp theo được chọn ở phía gửi, chính sách đã khớp và địa chỉ nguồn mà dịch vụ ghi nhận. Cũng thử một lần từ chối, vì một thiết kế chưa từng từ chối gì có những cạnh chưa biết, và lần từ chối là bằng chứng duy nhất rằng chính sách chứ không phải định tuyến đang làm việc. Khi phía đông cũng phải khởi tạo, hãy bắt đầu một kết nối mới từ phía đó thay vì cho rằng hướng thứ hai sẽ theo sau. Cũng lập kế hoạch khởi động lại, nâng cấp và thay thế peer định tuyến, vì một máy chủ đã trở thành phụ thuộc của site.

Tên riêng cần thiết kế trình phân giải riêng, vì khả năng tiếp cận không tạo bản ghi DNS và một đường IP hoạt động với tên hỏng được đọc đúng như một đường hỏng. Nếu peer định tuyến chạy trong mạng đám mây, cũng xem lại các quy tắc chuyển tiếp và tường lửa của nhà cung cấp, vì việc đăng ký không ghi đè chúng. Giữ các quan sát của bài thử bên cạnh kế hoạch, vì người tiếp theo gỡ lỗi việc này sẽ muốn chính sách đã khớp và địa chỉ nguồn đã ghi, không phải mô tả topo.