BGP přes VPN tunel je to dobrý nápad?

VPN
1

Než se zeptáte, již máme ASN a veřejné IP bloky od RIR

Už máme nějaké servery colocované v datacentru, které nám poskytují BGP peerování.

Tady je problém,
chceme vzít jeden z bloků /24 a použít ho v našem kancelářském prostory. Chceme nasadit nějaké servery v kanceláři, aby byly dostupné z venku.

Máme v kanceláři více internetových připojení, ale bohužel nepodporují BGP peerování.

Moje otázka je, pokud vytvoříme WireGuard tunelový server v našem datacentru a připojíme k němu náš kancelářský směrovač a inzerujeme IP bloky tímto způsobem, bude to dostatečně spolehlivé na hostování online služeb tímto způsobem?

2

Raději bych vše BGP peerování ponechal v datacentru a mezi datacentrem a kanceláří bych vystavěl WireGuard tunely. Poté bych směroval vybraných /24 interně přes tunely. Můžete použít cokoliv pro interní směrování této sítě /24. To je vaše věc.

Zvažte šířku pásma spotřebovanou přes tunely a také latenci. Není dobrý nápad umístit servery do kanceláře, pokud na nich běží náročná aplikace.

Také mějte na paměti zátěž CPU serverů, které zvládají WireGuard kryptografické úkoly při vysokém provozu.

Závěr, vše je možné, ale zvážte dopad na podkladové odkazy WireGuard tunelů.

Můžete také zvážit použití toho /24 na VxLAN mezi vaším datacentrem a kanceláří. Mělo by to být v obou lokalitách, pokud je potřeba.

3

Měli byste přesunout věci s veřejným přístupem do datacentra.

Nic, co spoléhá na WireGuard tunel, by nemělo být vystaveno zákazníkům, to je špatný návrh.

Minimálně bych zavedl IPSec tunely z datacentra do kanceláře a nechal veřejný provoz zpracovat v datacentru před tím, než dorazí do kanceláře.

4

Doporučuji IPsec z datacentra do kanceláře a oznámit směrovací cesty na kancelářských serverech (pomocí RFC1918 do datacentra) přes vámi zvolený směrovací protokol. Poté tyto soukromé adresy NAT přes veřejné IP v datacentru…

5

Funguje to dobře, nikdy jsem neměl vážnější problém, pokud máte kapacitu na spojení. Ale nepotřebujete BGP, stačí statická trasa pro /24 přes tunel.

6

Proč nepoužít linkovaný Ethernet od kanceláře do datacentra? Možná záložní IPsec tunel.

7

Nemohu mluvit o WireGuard, ale je velmi běžné používat eBGP multihop přes VPN, zejména VPN založené na route (VTI), protože to v podstatě používá 0.0.0.0 jako zajímavý filtr provozu na obou stranách, takže je třeba používat směrovací protokol k určení, jaký provoz tunelovat. Obvykle je VPN do Azure nastavena takto.

8

Osobně jsem nikdy nezkoušel takové nastavení,
Existuje nějaký technický důvod, který jsem mohl minout, proč by WireGuard nemohl být tak spolehlivý jako IPsec?

9

Datové centrum je asi 30 mil daleko. Není to jednoduchý úkol.

10

IPsec je osvědčená technologie a podporována většinou podnikových síťových zařízení. Přenášení produkčního síťového provozu přes server je problém.

11

Cože? Pokud nejste na větší vzdálenosti, pravděpodobně máte alespoň jednoho operátora, který to dokáže za rozumnou cenu.