Как из одной сети попасть в другую

Маршрутизация и доступ между сетями

Чтобы попасть из одной сети в другую, необходимо использовать механизмы маршрутизации (routing). Это фундаментальная концепция сетевого взаимодействия. Для успешного обмена пакетами между двумя узлами в разных IP-подсетях требуется наличие сетевого устройства, которое знает путь до удаленной сети — маршрутизатора (роутера), либо специально настроенного шлюза.

Ключевые принципы соединения сетей

1. IP-адресация и подсети: Устройства должны находиться в разных IP-подсетях (например, 192.168.1.0/24 и 10.0.0.0/24). Устройство определяет, находится ли адресат в своей локальной сети, анализируя свою маску подсети и адрес назначения. Если адресат "чужой", пакет отправляется на шлюз по умолчанию.

2. Шлюз по умолчанию (Default Gateway): Это IP-адрес маршрутизатора в локальной сети хоста. Все пакеты для "чужих" сетей отправляются на этот адрес. Маршрутизатор обязан иметь интерфейсы в обеих сетях или знать маршруты до них.

3. Таблица маршрутизации (Routing Table): Это "дорожная карта" для сетевого устройства (роутера или даже хоста с включенным форвардингом). Она содержит записи о том, через какой интерфейс или следующий хоп (next-hop) можно достичь той или иной сети.

Пример таблицы маршрутизации на Linux-хосте (команда ip route):

$ ip route
default via 192.168.1.1 dev eth0  # Шлюз по умолчанию
192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.100  # Прямо подключенная локальная сеть
10.0.0.0/24 via 192.168.1.1 dev eth0  # Маршрут к сети 10.0.0.0/24 через шлюз 192.168.1.1

Основные методы организации связи между сетями

• Физическое соединение через маршрутизатор: Самый простой способ. Роутер имеет два (или более) физических интерфейса (LAN-порта), каждый из которых подключен к своей сети и имеет IP-адрес из её диапазона.
• Использование виртуальных сетей (VLAN) и маршрутизации между ними (Inter-VLAN Routing): На уровне L3-коммутатора или отдельного роутера. Создаются логические подсети поверх одной физической инфраструктуры.
• Туннелирование (Tunneling): Создание виртуального "туннеля" поверх другой сети (чаще всего Интернета). Пакеты одной сетевой технологии инкапсулируются в пакеты другой.

    *   **VPN (Virtual Private Network):** OpenVPN, WireGuard, IPsec. Позволяет безопасно соединить удалённые сети или отдельных пользователей.
    *   **GRE (Generic Routing Encapsulation), VXLAN:** Часто используются в дата-центрах и облачных средах для создания overlay-сетей.

    Пример создания простого GRE-туннеля между двумя Linux-хостами:

```bash
# На хосте A (с IP 203.0.113.10)
ip tunnel add gre0 mode gre remote 198.51.100.20 local 203.0.113.10
ip addr add 10.10.10.1/30 dev gre0
ip link set gre0 up
ip route add 172.16.2.0/24 via 10.10.10.2

# На хосте B (с IP 198.51.100.20) - зеркальная настройка
ip tunnel add gre0 mode gre remote 203.0.113.10 local 198.51.100.20
ip addr add 10.10.10.2/30 dev gre0
ip link set gre0 up
ip route add 192.168.1.0/24 via 10.10.10.1
```

• Трансляция сетевых адресов (NAT) и Проброс портов (Port Forwarding): Позволяет узлам из частной сети (например, 192.168.1.0/24) инициировать подключение к внешним сетям (Интернету). Для обратного доступа (извне внутрь) требуется настройка проброса конкретных портов на шлюзе.

Как это выглядит на практике для DevOps

В современных облачных и контейнерных средах доступ между сетями организуется через:

• VPC (Virtual Private Cloud) и маршрутизационные таблицы в облаке (AWS VPC, GCP VPC, Azure VNet). Вы явно прописываете маршруты между подсетями и VPC.
• Виртуальные сетевые устройства (NGINX, HAProxy, Traefik как reverse proxy) и Ingress-контроллеры в Kubernetes. Они часто являются точкой входа (шлюзом) в сеть приложений.
• Сетевые политики (Network Policies) в Kubernetes (Calico, Cilium). Они управляют разрешением связи между pod'ами (логическими сегментами сети) на уровне правил брандмауэра, а не маршрутизации.
• Service Mesh (Istio, Linkerd). Добавляют слой абстракции для управления трафиком между сервисами, включая сложное распределение, безопасность и observability, поверх базовой сетевой связности.

Этапы прохождения пакета (упрощённо)

1. Хост-источник определяет, что IP-адрес назначения принадлежит другой сети.
2. Пакет отправляется на MAC-адрес шлюза по умолчанию (определяется через ARP), но с IP-адресом удалённого хоста.
3. Маршрутизатор (шлюз) принимает пакет на свой интерфейс, смотрит в таблицу маршрутизации, определяет следующий хоп или выходной интерфейс.
4. Если сеть назначения напрямую подключена к роутеру, он отправляет пакет прямо на конечный узел (запрашивая его MAC-адрес, если необходимо). Если нет — передаёт пакет следующему маршрутизатору.
5. Процесс повторяется, пока пакет не достигнет маршрутизатора, в сети которого находится хост-получатель.
6. Хост-получатель получает пакет на свой сетевой интерфейс.

Таким образом, попасть из одной сети в другую можно только при наличии корректно настроенного маршрута на всех промежуточных сетевых устройствах, что обеспечивает целостный путь для IP-пакетов. В обязанности DevOps-инженера входит проектирование, настройка и поддержание этих путей в инфраструктуре, будь то физической, виртуальной или облачной.