Drie maniere om oor verskeie VPN's te werk sonder verwarring

Twee kliënt-tonnels, een skootrekenaar en 'n blaaier-oortjie wat nog ingeteken is op 'n plek waar dit nie moet wees nie. Die moeilike deel van werk oor verskeie private netwerke is nie om te koppel nie; dit is om te weet aan watter konteks 'n venster behoort wanneer jy oorskakel. 'n Werkruimte beantwoord daardie vraag: een identiteit, een stel toepassings, een oplosser-beleid en een plek om te kyk wanneer iets verkeerd opgelos word. Op 'n slegte dag is dit die verskil tussen 'n vyf-minuut regstelling en 'n datalek.

Besluit of die werk gelyktydig is

As die antwoord nee is, stop hier en gebruik die eenvoudigste reëling wat beskikbaar is. Een goedgekeurde verbinding op 'n slag, gekoppel en ontkoppel deur die kliënt wat die profiel besit, verwyder 'n hele klas foute voordat enige daarvan kan voorkom.

Gelyktydigheid is wat die koste verhoog: oorvleuelende voorvoegsels, twee oplosser-beleide en twee stelle toepassingstoestand moet doelbewus geskei word eerder as deur tyd.

Skryf die vereiste eerlik neer, want om 'n herverbinding te wil vermy is nie dieselfde as om albei netwerke gelyktydig nodig te hê nie.

Opeenvolgend is die goedkoopste reëling

Opeenvolgende werk benodig geen bykomende infrastruktuur nie, en sy foutmodus is 'n verouderde sessie eerder as 'n roetering-konflik. Die dissipline lê in die oorhandiging: voltooi die bewerking, sluit wat 'n verbinding hou, ontkoppel en bevestig die volgende verbinding voordat jy begin werk.

'n Blaaier-oortjie of terminaal wat oop bly, dra nie sy netwerk-konteks saam nie. Sy volgende versoek gaan waar die masjien nou roeteer, wat die ander kliënt kan wees.

Merk profiele volgens kliënt eerder as volgens protokol, en hou die eienaar van die geloofsbriewe sigbaar in die profielnaam. 'n Profiel genaamd work2 sê vir niemand iets op die oomblik van 'n haastige oorskakeling nie.

Die voordeel van hierdie reëling is dat dit ouditeerbaar is. Op enige oomblik is daar een netwerk-konteks, en die log wys wanneer dit verander het.

'n Werkruimte per kliënt kos isolasie-instandhouding

'n Virtuele masjien of 'n afgeleë ontwikkelingsomgewing per kliënt plaas die kliënt, die toepassings en die name op een plek. Oorskakeling word 'n vensterverandering in plaas van 'n netwerkverandering, en die twee kontekste kan nie deur 'n verdwaalde roete in mekaar lek nie.

Dit is nie gratis nie. Jy onderhou nou twee of drie stelsels, pleister hulle en besluit waar lêers en geloofsbriewe woon. Die virtuele masjien bereik ook die internet deur die gasheer, so sy buitenste pad is steeds jou skootrekenaar se pad.

Kontroleer dat die kliënt en enige toestel-houding-beleid daardie omgewing toelaat voordat jy die gewoonte daarom bou. 'n Kliënt wat weier om in 'n virtuele masjien te loop, is 'n feit om vroeg te ontdek.

'n Gedeelde deurgang is infrastruktuur

'n Aparte roeteerder wat geselekteerde verkeer dra, verander die probleem in 'n netwerkontwerp. Dit werk goed wanneer verskeie mense dieselfde kliënt-netwerk nodig het, en dit misluk wanneer iemand dit as 'n magiese boks behandel wat elke kliënt apart hou.

Een deurgang wat sy aktiewe tonnel wissel, is 'n enkele gedeelde konteks met 'n tou, nie verskeie onafhanklike netwerke nie. Noem wie dit mag verander, watter bronne dit bedien en wat gebeur wanneer twee mense verskillende kliënte op dieselfde tyd nodig het. Sonder daardie antwoord word die deurgang 'n bron van onderbrekings wat niemand besit nie. Dit word ook die plek waar iemand stilweg 'n kontrole afskakel om 'n sperdatum te haal.

Skryf die oorhandiging in 'n rekord

Die rekord hoef nie gesofistikeerd te wees nie; dit moet spesifiek genoeg wees dat iemand anders dit kan volg. Op Linux is 'n naamruimte die tegniese weergawe van dieselfde idee, met sy eie koppelvlakke en roeteertabel.

Hierdie opdragte skep 'n naamruimte, loop 'n opdrag daarin en wys watter verbindings die lessenaar-kliënt tans hou:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Toepassings moet steeds binne die naamruimte begin word, en die oplosser-konfigurasie daarin is 'n aparte lêer. Om koppelvlakke te isoleer, isoleer nie die knipbord, die SSH-agent of 'n gemonteerde deel nie, en dit is die lekke wat mense vergeet.

Kies die kleinste reëling wat die skeiding bewaar wat jy werklik nodig het, en hou die oorgang sigbaar: venstertitel, terminaal-prompt, profielnaam en eienaar van geloofsbriewe moet almal saamstem voordat enige private versoek gestuur word.