Standorte untereinander

Was Sie erreichen werden

Wann Sie das brauchen

Was Sie brauchen

Bevor Sie beginnen

Einrichtung

1. 1

   Alle Subnetze und alle Richtungen notieren

   Bevor Sie im Dashboard etwas ändern, notieren Sie zwei Listen:

   • Die Subnetze aller Standorte. Keine zwei dürfen sich überschneiden: Ein Client, der 192.168.1.0/24 erreichen soll, kann nicht erkennen, welchen Standort Sie meinen. Einzelne Rechner zu veröffentlichen, umgeht das nicht; Umnummerieren schon. Nehmen Sie den Tunnelbereich Ihrer Organisation auf, ein /16 innerhalb von 100.64.0.0/10: Die Zeile Address von sxaccess info zeigt ihn, sobald ein Gerät beigetreten ist.
   • Welcher Standort was erreicht, ein Satz je Richtung. Frankfurt erreicht die Münchner Datenbank. München erreicht in Frankfurt nichts. Jeder Satz wird zu einer Zugriffsregel.

   Warum zuerst: Eine Kollision ist jetzt billig zu beheben und beim dritten Standort teuer.

2. 2

   An jedem Standort ein Routing-Gerät registrieren

   Wählen Sie an jedem Standort einen dauerhaft laufenden Linux-Host im LAN mit iptables oder nftables. Der Agent schreibt damit Adressen um und schaltet die IP-Weiterleitung selbst ein.

   Legen Sie seinen Schlüssel unter Access › Enrollment keys › Create enrollment key an:

   • Name - router-muc.
   • Make this key reusable, Temporary devices, Allow Extra DNS Labels - aus.
   • Expires in - 1 Tag. Sie nutzen den Schlüssel gleich.
   • Auto-assigned groups - tippen Sie site-muc ein und drücken Sie Enter: Die Gruppe wird angelegt, und der Host kommt bei der Registrierung hinein.

   Wählen Sie Create enrollment key und kopieren Sie den Schlüssel: Er wird nur einmal angezeigt. Öffnen Sie dann ein Terminal auf dem Host. Führen Sie den Block in bash oder zsh als root aus. Fügen Sie den ganzen Block ein und drücken Sie einmal Enter. Sobald Enrollment key: erscheint, fügen Sie den Schlüssel ein, und nur ihn, und drücken Sie Enter. Der Schlüssel wird nicht angezeigt, und bei einer leeren Zeile fragt der Block erneut. Die Schlüsseldatei wird am Ende gelöscht, ob der Beitritt gelungen ist oder nicht. Haben Sie den Block mit Strg+C abgebrochen, löschen Sie sie mit rm -f /run/secrets/sxaccess-key.

   Sie sehen: This device is now connected, danach beginnt sxaccess info mit Connected, und der Host steht unter Devices in site-muc. Wiederholen Sie das in Frankfurt mit dem Schlüssel router-fra, der Gruppe site-fra und dem Hostnamen router-fra-office.

   shellKopieren

   curl -fsSL https://pkgs.sxaccess.com/install.sh | sh{  install -d -m 700 /run/secrets  install -m 600 /dev/null /run/secrets/sxaccess-key  KEY=''  until [ -n "$KEY" ]; do printf 'Enrollment key: '; read -rs KEY || break; echo; done  [ -n "$KEY" ] && printf '%s' "$KEY" > /run/secrets/sxaccess-key && unset KEY &&    sxaccess start --enrollment-key-file /run/secrets/sxaccess-key --hostname router-muc-office &&    sxaccess info  rm -f /run/secrets/sxaccess-key}

3. 3

   München: die Datenbank, ihre Regel und ihr Routing-Gerät veröffentlichen

   Networks › Internal networks › Add internal network: Network Name Munich office, dann Add Network. Drei Formulare folgen:

   • Add Resource - Name Munich database; so zeigt sxaccess reach list die Ressource an. Address 10.20.0.15. Destination Groups: Tippen Sie muc-databases ein und drücken Sie Enter. Wählen Sie dann Add Resource. Veröffentlichen Sie den Dienst, nicht den ganzen Standort.
   • Create access rule - das Ziel ist bereits Munich database. Wählen Sie site-fra als Quelle, dann TCP. Klicken Sie in das Port-Feld, tippen Sie 5432 ein und drücken Sie Enter: Das Feld zeigt 5432 statt All. Wählen Sie dann Create access rule. Quelle ist das Frankfurter Routing-Gerät, denn in München kommt der Verkehr mit der Adresse dieses Geräts an.
   • Add Routing Device - wählen Sie router-muc-office, dann Continue. Lassen Sie Masquerade eingeschaltet, damit die Datenbank keinen Rückweg braucht, und wählen Sie Add Routing Device.

   Sie sehen: Die Zeile Munich office zeigt 1 resource, 1 device und site-fra. Das Frankfurter Routing-Gerät erreicht die Datenbank jetzt; für sein LAN folgen die Schritte 4 und 5.

4. 4

   Frankfurt: das eigene Subnetz veröffentlichen

   Legen Sie Frankfurt office genauso an. Seine Rechner erreichen München nur, wenn ihr Routing-Gerät ihr Subnetz mit eingeschaltetem Masquerade bedient: Dann versieht es ihren Verkehr mit seiner eigenen Tunneladresse, und München lässt diese Adresse zu.

   • Add Resource - Name Frankfurt LAN, Address 10.30.0.0/24, Destination Groups fra-lan.
   • Create access rule - Quelle site-fra, any protocol. Eine Ressource wird erst bedient, wenn eine Regel sie nennt. Diese Regel öffnet nichts Neues: In site-fra ist nur das Routing-Gerät, und das sitzt ohnehin in diesem Subnetz.
   • Add Routing Device - router-fra-office, Masquerade an.

   Sie sehen: sxaccess info auf dem Frankfurter Routing-Gerät zeigt 10.30.0.0/24 unter Networks. Veröffentlichen Sie jedes Frankfurter Subnetz, dessen Rechner München erreichen sollen.

5. 5

   Das Frankfurter LAN zu seinem Routing-Gerät leiten

   Die Frankfurter Rechner schicken Verkehr an Münchner Adressen noch an ihr übliches Gateway. Ergänzen Sie dort eine statische Route für genau das, was München veröffentlicht, über die LAN-Adresse des Routing-Geräts: hier 10.20.0.15/32 über 10.30.0.2. Routen Sie nichts anderes; das Routing-Gerät könnte es nur zurückschicken.

   Das Routing-Gerät antwortet dem Rechner direkt, am Gateway vorbei. Ist das Gateway eine Firewall, die solche Verbindungen verwirft, oder lässt es sich nicht ändern, legen Sie die Route stattdessen auf jedem Rechner an, unter Linux mit dem ersten Block nach diesen Schritten. Tragen Sie sie auch in die Netzwerkkonfiguration des Rechners ein, damit sie einen Neustart übersteht. München braucht keinen Rückweg.

   Laufen ufw oder Docker auf dem Frankfurter Routing-Gerät, erlauben Sie dort auch die Weiterleitung von der LAN-Schnittstelle in den Tunnel: Beide verwerfen weitergeleiteten Verkehr standardmäßig. Führen Sie dort mit ufw den zweiten Block nach diesen Schritten aus, mit Docker den dritten; eth0 steht darin für die LAN-Schnittstelle.

   Sie sehen: Ein Rechner in Frankfurt erreicht die Datenbank, wie unter Prüfen beschrieben.

Prüfen

Fehlersuche

Erweiterte Konfiguration

Verwandte Themen