VPN encaminada o pontada: tria segons què ha d’assolir el client

Arriben dos tiquets el mateix dia: un usuari necessita una aplicació web interna i un enginyer necessita que un instrument de banc es comporti com si estigués al mateix segment Ethernet. Tots dos es responen amb posa’ls a la VPN, i aquí comença el problema. Un túnel encaminat i un túnel pontat estableixen relacions diferents, i només una d’elles encaixa amb cada sol·licitud. Triar la topologia és una decisió d’accés, no un paràmetre de criptografia.

Dues sol·licituds que semblen iguals a la finestreta

El requisit de l’empleat és un servei, abastable per IP, des d’un dispositiu que no controles. El requisit de l’enginyer és a nivell d’enllaç: l’instrument espera veure trames Ethernet i descobriment per broadcast, i potser DHCP del segment on creu que és.

Són preguntes diferents, i respondre les dues amb un pont amplia l’accés de l’empleat a tota la LAN de l’oficina sense cap motiu.

Escriu el requisit com una frase abans de triar: quines destinacions, quins protocols i quins parells han de semblar locals. Si la resposta és un amfitrió i un port, l’encaminament ho cobreix. Si la resposta és una relació a nivell de trama amb dispositius que només parlen broadcast, el pont pot ser l’única opció. Tot el que hi ha entremig mereix un segment de prova en lloc de la LAN de producció.

Una ruta és més estreta que la pertinença a la LAN

Un client encaminat obté una adreça en una subxarxa de túnel i rutes per als prefixos que triïs. Pot arribar al servidor d’aplicacions i a res més, si és el que diu la política. La passarel·la es converteix en el punt d’aplicació, sempre que cada camí rellevant la travessi.

No confonguis una ruta amb un permís. Dir a un client com arribar a una subxarxa no li impedeix provar una altra destinació.

Aplica el control d’accés on realment pugui fer complir el flux, i mantén els permisos propis de l’aplicació. Una regla d’reenviament àmplia o una segona interfície oblidada poden concedir més del que suggereix el diagrama. Llegeix les regles efectives, no les previstes. Després prova una destinació que hauria de fallar, perquè una política que ningú ha intentat vulnerar és una hipòtesi.

Un pont canvia la pregunta d’admissió

El pontatge combina una interfície física i un dispositiu TAP en un commutador de programari, de manera que els dispositius remots s’uneixen al mateix domini de broadcast. És una capacitat real i un risc real: el dispositiu remot ja no és un hoste encaminat, és un participant.

Decideix quins dispositius poden unir-s’hi, quins tipus de trama han de travessar i on es bloqueja la interacció no desitjada. L’adreçament i l’autoritat DHCP passen a formar part de la xarxa compartida, i dos servidors DHCP en un segment produeixen exactament el desordre que esperes.

Per a l’instrument, un segment de prova dedicat sol encaixar millor que la LAN de l’oficina. Mantén l’accés de gestió fora de l’experiment i defineix com s’elimina el participant temporal quan acaba la feina.

El filtratge existeix en totes dues topologies

Un pont no és inherentment no filtrable, i una ruta no és inherentment segura. El filtratge de ponts de Linux té els seus propis ganxos i la seva pròpia sintaxi de regles, i una regla escrita per a reenviament IP encaminat no s’aplica automàticament a les trames pontades.

Comprova què admet realment la plataforma abans de prometre una frontera:

bridge link show
nft list ruleset

TUN i TAP descriuen el trànsit de la interfície, no el xifrat. Canviar interfícies no arregla res d’això: l’autenticació de parells, una clau robada i una política criptogràfica antiquada sobreviuen tots al canvi. Els dos extrems encara necessiten paràmetres que coincideixin i que encara s’admetin.

Demostra la frontera amb tres intents

L’acceptació són tres observacions, no una revisió del diagrama. L’operació requerida ha de funcionar, una destinació no relacionada ha de fallar i els serveis de gestió propis de la passarel·la han de quedar fora d’abast.

Executa els camins permès i denegat des del mateix client i registra tots dos:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Per a un pont, afegeix les comprovacions a nivell d’enllaç: si travessa el trànsit de descobriment permès, si l’adreçament ve de l’autoritat prevista i si el participant temporal ha desaparegut després de retirar-lo. Quan l’IP encaminat simple ja satisfà el requisit, unir-se al segment Ethernet de l’oficina necessita una justificació a part, i cal escriure-la abans del canvi.