Тры спосабы працаваць праз некалькі VPN без блытаніны

Дзве кліенцкія тунелі, адзін ноўтбук і закладка ў браўзеры, якая ўсё яшчэ ўвайшла там, дзе не павінна. Складаная частка працы праз некалькі прыватных сетак — не падключэнне; гэта веданне таго, да якога кантэксту належыць акно пры пераключэнні. Працоўная прастора адказвае на гэтае пытанне: адна асоба, адзін набор праграм, адна палітыка рэзалвера і адно месца, куды глядзець, калі нешта вырашаецца няправільна. У дрэнны дзень гэта розніца паміж пяціхвілінным выпраўленнем і ўцечкай даных.

Вырашыце, ці праца адначасовая

Калі адказ не, спыніцеся тут і выкарыстоўвайце найпрасцейшую даступную схему. Адно зацверджанае злучэнне за раз, падключанае і адключанае праз кліент, які валодае профілем, выдаляе цэлы клас збояў, перш чым хоць адзін з іх можа адбыцца.

Менавіта адначасовасць павялічвае кошт: перакрывальныя прэфіксы, дзве палітыкі рэзалвера і два наборы стану праграм павінны быць падзеленыя наўмысна, а не часам.

Запішыце патрабаванне сумленна, бо жаданне пазбегнуць перападключэння не тое самае, што патрэба ў абедзвюх сетках адначасова.

Паслядоўнасць — самая таннае рашэнне

Паслядоўная праца не патрабуе дадатковай інфраструктуры, а яе адмова — гэта састарэлая сесія, а не канфлікт маршрутызацыі. Дысцыпліна ў перадачы: скончыце аперацыю, зачыніце тое, што трымае злучэнне, адключыцеся і пацвердзіце наступнае злучэнне перад пачаткам працы.

Закладка браўзера або тэрмінал, які застаецца адкрытым, не нясе свой сеткавы кантэкст з сабой. Яго наступны запыт ідзе туды, куды машына цяпер маршрутызуе, а гэта можа быць іншы кліент.

Пазначайце профілі па кліенце, а не па пратаколе, і трымайце ўладальніка ўліковых даных бачным у назве профіля. Профіль з назвай work2 не кажа нікому нічога ў момант спешнага пераключэння.

Перавага гэтай схемы ў тым, што яна паддаецца аўдыту. У любы момант існуе адзін сеткавы кантэкст, і журнал паказвае, калі ён змяніўся.

Працоўная прастора на кожнага кліента каштуе ізаляцыі

Віртуальная машына або аддаленае асяроддзе распрацоўкі на кожнага кліента змяшчае кліент, праграмы і назвы ў адным месцы. Пераключэнне робіцца зменай акна, а не зменай сеткі, і два кантэксты не могуць працякаць адзін у адзін праз блукаючы маршрут.

Гэта не бясплатна. Цяпер вы падтрымліваеце дзве або тры сістэмы, латаеце іх і вырашаеце, дзе жывуць файлы і ўліковыя даныя. Віртуальная машына таксама выходзіць у інтэрнэт праз хост, таму яе знешні шлях — гэта ўсё яшчэ шлях вашага ноўтбука.

Праверце, што кліент і любая палітыка стану прылады дазваляюць гэтае асяроддзе, перш чым будаваць на ім звычку. Кліент, які адмаўляецца працаваць у віртуальнай машыне, — гэта факт, які трэба выявіць рана.

Агульны шлюз — гэта інфраструктура

Асобны маршрутызатар, які нясе выбраны трафік, ператварае праблему ў праект сеткі. Ён добра працуе, калі некалькім людзям патрэбная адна сетка кліента, і падводзіць, калі хтосьці ставіцца да яго як да чароўнай скрыні, якая трымае кожнага кліента асобна.

Адзін шлюз, які пераключае свой актыўны тунель, — гэта адзіны агульны кантэкст з чаргой, а не некалькі незалежных сетак. Назавіце, хто можа яго змяняць, якія крыніцы ён абслугоўвае і што адбываецца, калі двум людзям патрэбныя розныя кліенты адначасова. Без гэтага адказу шлюз становіцца крыніцай перапынкаў, якімі ніхто не валодае. Ён таксама становіцца месцам, дзе хтосьці ціха адключае праверку, каб паспець да тэрміну.

Запішыце перадачу ў запіс

Запіс не павінен быць складаным; ён павінен быць дастаткова канкрэтным, каб іншы чалавек мог ім кіравацца. У Linux прастора імёнаў — гэта тэхнічная версія той жа ідэі, са сваімі інтэрфейсамі і табліцай маршрутызацыі.

Гэтыя каманды ствараюць прастору імёнаў, запускаюць каманду ўнутры яе і паказваюць, якія злучэнні зараз трымае кліент працоўнага стала:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Праграмы ўсё яшчэ трэба запускаць унутры прасторы імёнаў, і канфігурацыя рэзалвера ўнутры яе — асобны файл. Ізаляцыя інтэрфейсаў не ізалюе буфер абмену, агент SSH або падключаны агульны рэсурс, і менавіта гэтыя ўцечкі людзі забываюць.

Выберыце найменшую схему, якая захоўвае падзел, які вам сапраўды патрэбны, і трымайце пераход бачным: загаловак акна, запыт тэрмінала, назва профіля і ўладальнік уліковых даных павінны супадаць перад адпраўкай любога прыватнага запыту.