Tres maneres de treballar amb diverses VPN sense confusió

Dos túnels de client, un portàtil i una pestanya del navegador que encara té la sessió iniciada on no hauria. La part difícil de treballar amb diverses xarxes privades no és connectar-se; és saber a quin context pertany una finestra quan canvieu. Un espai de treball respon aquesta pregunta: una identitat, un conjunt d'aplicacions, una política de resolució i un lloc on mirar quan alguna cosa es resol malament. Un mal dia és la diferència entre una correcció de cinc minuts i una fuita de dades.

Decidiu si la feina és simultània

Si la resposta és no, atureu-vos aquí i feu servir el dispositiu més simple disponible. Una connexió aprovada alhora, connectada i desconnectada pel client que posseeix el perfil, elimina tota una classe de fallades abans que cap pugui produir-se.

La simultaneïtat és el que encareix: prefixos solapats, dues polítiques de resolució i dos conjunts d'estat d'aplicacions s'han de separar deliberadament, no pel temps.

Escriviu el requisit amb honestedat, perquè voler evitar una reconnexió no és el mateix que necessitar les dues xarxes alhora.

La seqüència és el dispositiu més barat

La feina seqüencial no necessita infraestructura addicional, i el seu mode de fallada és una sessió obsoleta i no un conflicte d'encaminament. La disciplina és en el traspàs: acabeu l'operació, tanqueu el que manté una connexió, desconnecteu i confirmeu la connexió següent abans de començar a treballar.

Una pestanya del navegador o un terminal que queda obert no porta el seu context de xarxa amb si. La seva petició següent va allà on la màquina encamina ara, que pot ser l'altre client.

Etiqueteu els perfils per client i no per protocol, i manteniu el propietari de les credencials visible en el nom del perfil. Un perfil anomenat work2 no diu res a ningú en el moment d'un canvi precipitat.

L'avantatge d'aquest dispositiu és que és auditable. En qualsevol instant hi ha un sol context de xarxa, i el registre mostra quan va canviar.

Un espai de treball per client costa aïllament

Una màquina virtual o un entorn de desenvolupament remot per client posa el client, les aplicacions i els noms en un sol lloc. El canvi es converteix en un canvi de finestra en lloc d'un canvi de xarxa, i els dos contextos no poden filtrar-se l'un a l'altre per una ruta extraviada.

No és gratuït. Ara manteniu dos o tres sistemes, els actualitzeu i decidiu on viuen els fitxers i les credencials. La màquina virtual també arriba a internet a través de l'amfitrió, així que la seva ruta exterior continua sent la ruta del vostre portàtil.

Comproveu que el client i qualsevol política d'estat del dispositiu permetin aquest entorn abans de construir-hi l'hàbit. Un client que es nega a executar-se en una màquina virtual és un fet que cal descobrir aviat.

Una passarel·la compartida és infraestructura

Un encaminador separat que porti trànsit seleccionat converteix el problema en un disseny de xarxa. Funciona bé quan diverses persones necessiten la mateixa xarxa de client, i falla quan algú el tracta com una caixa màgica que manté cada client separat.

Una passarel·la que canvia el seu túnel actiu és un sol context compartit amb una cua, no diverses xarxes independents. Anomeneu qui pot canviar-lo, quines fonts serveix i què passa quan dues persones necessiten clients diferents alhora. Sense aquesta resposta, la passarel·la es converteix en una font d'interrupcions que ningú posseeix. També es converteix en el lloc on algú desactiva en silenci una comprovació per complir un termini.

Escriviu el traspàs en un registre

El registre no ha de ser sofisticat; ha de ser prou específic perquè algú altre el pugui seguir. A Linux, un espai de noms és la versió tècnica de la mateixa idea, amb les seves interfícies i la seva taula d'encaminament.

Aquestes ordres creen un espai de noms, executen una ordre dins seu i mostren quines connexions manté ara el client d'escriptori:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Les aplicacions encara s'han d'iniciar dins de l'espai de noms, i la configuració de resolució que hi ha dins és un fitxer a part. Aïllar les interfícies no aïlla el porta-retalls, l'agent SSH ni un recurs compartit muntat, i aquestes són les fuites que la gent oblida.

Trieu el dispositiu més petit que preservi la separació que realment necessiteu, i manteniu la transició visible: el títol de la finestra, l'indicatiu del terminal, el nom del perfil i el propietari de les credencials han de coincidir abans que s'enviï qualsevol petició privada.