Geroteerde of gebrugde VPN: kies volgens wat die kliënt moet bereik

Twee kaartjies kom dieselfde dag in: een gebruiker het ’n interne webtoepassing nodig, en een ingenieur het ’n bankinstrument nodig wat optree asof dit op dieselfde Ethernet-segment sit. Albei word beantwoord met sit hulle op die VPN, en dit is waar die moeilikheid begin. ’n Geroteerde tonnel en ’n gebrugde tonnel span verskillende verhoudings uit, en net een van hulle pas by elke versoek. Om die topologie te kies is ’n toegangsbesluit, nie ’n kriptografie-instelling nie.

Twee versoeke wat by die kaartjieslessenaar dieselfde lyk

Die werknemer se vereiste is ’n diens, bereikbaar oor IP, vanaf ’n toestel wat jy nie beheer nie. Die ingenieur se vereiste is op skakelvlak: die instrument verwag om Ethernet-rame te sien, uitsaai-ontdekking, en moontlik DHCP vanaf die segment waarop dit dink dit is.

Dit is verskillende vrae, en om albei met ’n brug te antwoord verbreed die werknemer se toegang na die hele kantoor-LAN sonder enige rede.

Skryf die vereiste as ’n sin voordat jy kies: watter bestemmings, watter protokolle en watter eweknieë plaaslik moet lyk. As die antwoord ’n gasheer en ’n poort is, dek roetering dit. As die antwoord ’n verhouding op raamvlak is met toestelle wat net uitsaai praat, is ’n brug dalk die enigste opsie. Enigiets tussenin verdien ’n toetsegment eerder as die produksie-LAN.

’n Roete is smaller as LAN-lidmaatskap

’n Geroteerde kliënt kry ’n adres op ’n tonnel-subnet en roetes vir die voorvoegsels wat jy kies. Dit kan die toepassingbediener bereik en niks anders nie, as dit is wat die beleid sê. Die poort word die handhawingspunt, mits elke relevante pad dit kruis.

Moenie ’n roete met ’n toestemming verwar nie. Om ’n kliënt te sê hoe om ’n subnet te bereik, keer nie dat dit ’n ander bestemming probeer nie.

Pas toegangsbeheer toe waar dit die vloei werklik kan afdwing, en hou die toepassing se eie toestemmings in plek. ’n Wye aanstuurreël of ’n vergete tweede koppelvlak kan meer toestaan as wat die diagram aandui. Lees die effektiewe reëls eerder as die bedoelde reëls. Toets dan ’n bestemming wat moet misluk, want ’n beleid wat niemand probeer oortree het nie, is ’n hipotese.

’n Brug verander die toelatingsvraag

Brugging kombineer ’n fisiese koppelvlak en ’n TAP-toestel in ’n sagteware-skyf, sodat afgeleë toestelle by dieselfde uitsaai-domein aansluit. Dit is ’n werklike vermoë en ’n werklike risiko: die afgeleë toestel is nie meer ’n geroteerde gas nie, dit is ’n deelnemer.

Besluit watter toestelle mag aansluit, watter raamtipes moet kruis en waar ongewenste interaksie geblokkeer word. Adressering en DHCP-gesag word deel van die gedeelde netwerk, en twee DHCP-bediener op een segment lewer presies die gemors wat jy verwag.

Vir die instrument is ’n toegewyde toetsegment gewoonlik ’n beter pas as die kantoor-LAN. Hou bestuurstoegang buite die eksperiment, en definieer hoe die tydelike deelnemer verwyder word wanneer die werk klaar is.

Filtering bestaan in albei topologieë

’n Brug is nie inherent onfilterbaar nie, en ’n roete is nie inherent veilig nie. Linux-brugfiltering het sy eie hake en sy eie reëlsinthaks, en ’n reël wat vir geroteerde IP-aansturing geskryf is, geld nie outomaties vir gebrugde rame nie.

Kontroleer wat die platform werklik ondersteun voordat jy ’n grens belowe:

bridge link show
nft list ruleset

TUN en TAP beskryf die koppelvlak se verkeer, nie die syfer nie. Om koppelvlakke te verwissel maak niks daarvan reg nie: eweknie-verifikasie, ’n gesteelde sleutel en ’n verouderde kriptografiese beleid oorleef almal die verandering. Albei kante het steeds instellings nodig wat ooreenstem en steeds ondersteun word.

Bewys die grens met drie pogings

Aanvaarding is drie waarnemings, nie ’n diagramoorsig nie. Die vereiste bewerking moet werk, ’n onverwante bestemming moet misluk, en die poort se eie bestuursdienste moet buite bereik bly.

Voer die toegelate en geweierde paaie vanaf dieselfde kliënt uit, en teken albei aan:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Vir ’n brug, voeg die skakelvlak-kontroles by: of die toegelate ontdekkingsverkeer kruis, of adressering van die beoogde gesag kom, en of die tydelike deelnemer weg is ná verwydering. Wanneer gewone geroteerde IP reeds die vereiste bevredig, het aansluiting by die kantoor-Ethernet-segment ’n aparte regverdiging nodig, en dit moet voor die verandering neergeskryf word.