Tři způsoby, jak pracovat s několika VPN bez zmatku

Dva zákaznické tunely, jeden notebook a karta v prohlížeči, která je stále přihlášená tam, kde by být neměla. Obtížná část práce přes několik soukromých sítí není připojení; je to vědět, ke kterému kontextu okno patří, když přepínáte. Pracovní prostor na tuto otázku odpovídá: jedna identita, jedna sada aplikací, jedna politika resolveru a jedno místo, kam se podívat, když se něco přeloží špatně. Ve špatný den je to rozdíl mezi pětiminutovou opravou a únikem dat.

Rozhodněte, zda je práce souběžná

Pokud je odpověď ne, zastavte se zde a použijte nejjednodušší dostupné uspořádání. Jedno schválené připojení najednou, připojované a odpojované přes klienta, který vlastní profil, odstraňuje celou třídu selhání dřív, než k některému může dojít.

Právě souběžnost zvyšuje náklady: překrývající se prefixy, dvě politiky resolveru a dvě sady stavu aplikací musí být odděleny záměrně, ne časem.

Zapište požadavek poctivě, protože touha vyhnout se opětovnému připojení není totéž jako potřeba obou sítí najednou.

Sekvence je nejlevnější uspořádání

Postupná práce nepotřebuje žádnou další infrastrukturu a jejím režimem selhání je zastaralá relace, nikoli konflikt směrování. Disciplína je v předání: dokončete operaci, zavřete to, co drží připojení, odpojte se a před zahájením práce potvrďte další připojení.

Karta v prohlížeči nebo terminál, který zůstane otevřený, nenese svůj síťový kontext s sebou. Jeho další požadavek jde tam, kam stroj nyní směruje, což může být druhý zákazník.

Označujte profily podle zákazníka, ne podle protokolu, a držte vlastníka přihlašovacích údajů viditelného v názvu profilu. Profil s názvem work2 nikomu nic neřekne v okamžiku ukvapeného přepnutí.

Výhodou tohoto uspořádání je, že je auditovatelné. V každém okamžiku existuje jeden síťový kontext a protokol ukazuje, kdy se změnil.

Pracovní prostor pro každého zákazníka stojí izolaci

Virtuální stroj nebo vzdálené vývojové prostředí pro každého zákazníka dává klienta, aplikace a názvy na jedno místo. Přepínání se stává změnou okna místo změny sítě a oba kontexty nemohou prosakovat jeden do druhého zbloudilou cestou.

Není to zdarma. Nyní udržujete dva nebo tři systémy, záplatujete je a rozhodujete, kde žijí soubory a přihlašovací údaje. Virtuální stroj se také dostává na internet přes hostitele, takže jeho vnější cesta je stále cestou vašeho notebooku.

Ověřte, že klient a případná politika stavu zařízení toto prostředí povolují, než na něm postavíte zvyk. Klient, který odmítá běžet ve virtuálním stroji, je fakt, který je třeba objevit brzy.

Sdílená brána je infrastruktura

Samostatný router přenášející vybraný provoz mění problém v návrh sítě. Funguje dobře, když několik lidí potřebuje stejnou zákaznickou síť, a selhává, když s ním někdo zachází jako s kouzelnou skříňkou, která drží každého zákazníka odděleně.

Jedna brána, která přepíná svůj aktivní tunel, je jediný sdílený kontext s frontou, nikoli několik nezávislých sítí. Pojmenujte, kdo ji smí měnit, kterým zdrojům slouží a co se stane, když dva lidé potřebují různé zákazníky ve stejnou dobu. Bez této odpovědi se brána stává zdrojem výpadků, které nikdo nevlastní. Stává se také místem, kde někdo tiše vypne kontrolu, aby stihl termín.

Zapište předání do záznamu

Záznam nemusí být sofistikovaný; musí být dost konkrétní, aby ho někdo jiný mohl následovat. V Linuxu je jmenný prostor technickou verzí stejné myšlenky, s vlastními rozhraními a směrovací tabulkou.

Tyto příkazy vytvoří jmenný prostor, spustí v něm příkaz a ukážou, která připojení klient plochy právě drží:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Aplikace se stále musí spouštět uvnitř jmenného prostoru a konfigurace resolveru v něm je samostatný soubor. Izolace rozhraní neizoluje schránku, agenta SSH ani připojené sdílení, a právě tyto úniky lidé zapomínají.

Vyberte nejmenší uspořádání, které zachová oddělení, jež skutečně potřebujete, a držte přechod viditelný: titulek okna, výzva terminálu, název profilu a vlastník přihlašovacích údajů musí před odesláním jakéhokoli soukromého požadavku souhlasit.