Три начина да работите през няколко VPN без объркване

Два клиентски тунела, един лаптоп и раздел в браузъра, който все още е влязъл там, където не би трябвало. Трудната част при работа през няколко частни мрежи не е свързването; тя е да знаете към кой контекст принадлежи един прозорец при превключване. Работното пространство отговаря на този въпрос: една самоличност, един набор приложения, една политика на резолвера и едно място, където да погледнете, когато нещо се разреши погрешно. В лош ден това е разликата между петминутна поправка и изтичане на данни.

Решете дали работата е едновременна

Ако отговорът е не, спрете тук и използвайте най-простата налична подредба. Една одобрена връзка наведнъж, свързвана и прекъсвана през клиента, който притежава профила, премахва цял клас откази, преди някой от тях да може да се случи.

Едновременността е това, което вдига цената: припокриващи се префикси, две политики на резолвера и два набора състояние на приложенията трябва да бъдат разделени умишлено, а не чрез време.

Запишете изискването честно, защото желанието да избегнете повторно свързване не е същото като нуждата от двете мрежи едновременно.

Последователността е най-евтината подредба

Последователната работа не се нуждае от допълнителна инфраструктура и режимът ѝ на отказ е застояла сесия, а не конфликт при маршрутизиране. Дисциплината е в предаването: завършете операцията, затворете това, което държи връзка, прекъснете и потвърдете следващата връзка, преди да започнете работа.

Раздел в браузъра или терминал, който остава отворен, не носи мрежовия си контекст със себе си. Следващата му заявка отива там, където машината сега маршрутизира, а това може да е другият клиент.

Назовавайте профилите по клиент, а не по протокол, и дръжте собственика на идентификационните данни видим в името на профила. Профил с име work2 не казва нищо на никого в момента на забързано превключване.

Предимството на тази подредба е, че подлежи на одит. Във всеки момент има един мрежов контекст и журналът показва кога се е променил.

Работно пространство за всеки клиент струва изолация

Виртуална машина или отдалечена среда за разработка за всеки клиент събира клиента, приложенията и имената на едно място. Превключването става смяна на прозорец, а не смяна на мрежа, и двата контекста не могат да изтекат един в друг през заблуден маршрут.

Това не е безплатно. Сега поддържате две или три системи, кърпите ги и решавате къде живеят файловете и идентификационните данни. Виртуалната машина също стига до интернет през хоста, така че външният ѝ път е все още пътят на вашия лаптоп.

Проверете дали клиентът и всяка политика за състоянието на устройството позволяват тази среда, преди да изградите навика около нея. Клиент, който отказва да работи във виртуална машина, е факт, който трябва да се открие рано.

Общият шлюз е инфраструктура

Отделен маршрутизатор, който носи избран трафик, превръща проблема в мрежов дизайн. Той работи добре, когато няколко души се нуждаят от една и съща клиентска мрежа, и се проваля, когато някой го третира като вълшебна кутия, която държи всеки клиент отделно.

Един шлюз, който превключва активния си тунел, е един общ контекст с опашка, а не няколко независими мрежи. Назовете кой може да го променя, кои източници обслужва и какво се случва, когато двама души се нуждаят от различни клиенти по едно и също време. Без този отговор шлюзът става източник на прекъсвания, които никой не притежава. Той също става мястото, където някой тихо изключва проверка, за да спази срок.

Запишете предаването в запис

Записът не трябва да е изтънчен; трябва да е достатъчно конкретен, за да може друг да го следва. В Linux пространството от имена е техническата версия на същата идея, със свои интерфейси и таблица за маршрутизиране.

Тези команди създават пространство от имена, изпълняват команда в него и показват кои връзки държи в момента клиентът за работния плот:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Приложенията все още трябва да се стартират вътре в пространството от имена, а конфигурацията на резолвера в него е отделен файл. Изолирането на интерфейси не изолира клипборда, SSH агента или монтиран споделен ресурс и точно тези течове хората забравят.

Изберете най-малката подредба, която запазва разделението, което наистина ви трябва, и дръжте прехода видим: заглавие на прозореца, подкана на терминала, име на профил и собственик на идентификационни данни трябва да съвпадат, преди да бъде изпратена каквато и да е частна заявка.