Rutet eller broet VPN: vælg ud fra, hvad klienten skal nå

To sager lander samme dag: én bruger har brug for en intern webapp, og én ingeniør har brug for, at et laboratorieinstrument opfører sig, som om det stod på samme Ethernet-segment. Begge besvares med sæt dem på VPN’en, og det er der, balladen begynder. En rutet tunnel og en broet tunnel udspænder forskellige relationer, og kun én af dem passer til hver anmodning. At vælge topologi er en adgangsbeslutning, ikke en kryptografiindstilling.

To anmodninger, der ser ens ud ved skranken

Medarbejderens krav er en tjeneste, nåbar over IP, fra en enhed, du ikke kontrollerer. Ingeniørens krav er på linkniveau: instrumentet forventer at se Ethernet-rammer og broadcast-opdagelse, og muligvis DHCP fra det segment, det mener at være på.

Det er forskellige spørgsmål, og at besvare begge med en bro udvider medarbejderens adgang til hele kontorets LAN uden grund.

Skriv kravet som en sætning, før du vælger: hvilke destinationer, hvilke protokoller og hvilke parter der skal se lokale ud. Hvis svaret er en vært og en port, dækker routing det. Hvis svaret er en relation på rammeniveau med enheder, der kun taler broadcast, er broen måske den eneste mulighed. Alt derimellem fortjener et testsegment i stedet for produktions-LAN’et.

En rute er smallere end LAN-medlemskab

En rutet klient får en adresse på et tunnelsubnet og ruter til de præfikser, du vælger. Den kan nå applikationsserveren og intet andet, hvis det er, hvad politikken siger. Gatewayen bliver håndhævelsespunktet, forudsat at hver relevant vej krydser den.

Forveksl ikke en rute med en tilladelse. At fortælle en klient, hvordan den når et subnet, forhindrer den ikke i at prøve en anden destination.

Anvend adgangskontrol, hvor den faktisk kan håndhæve flowet, og behold applikationens egne rettigheder. En bred videresendelsesregel eller en glemt ekstra grænseflade kan give mere, end diagrammet antyder. Læs de effektive regler i stedet for de tilsigtede. Test derefter en destination, der bør fejle, for en politik, ingen har forsøgt at bryde, er en hypotese.

En bro ændrer adgangsspørgsmålet

Broing kombinerer en fysisk grænseflade og en TAP-enhed til en softwareswitch, så fjern-enheder tilslutter sig samme broadcast-domæne. Det er en reel mulighed og en reel risiko: fjern-enheden er ikke længere en rutet gæst, den er deltager.

Beslut, hvilke enheder der må tilslutte sig, hvilke rammetyper der skal krydse, og hvor uønsket interaktion blokeres. Adressering og DHCP-autoritet bliver en del af det delte netværk, og to DHCP-servere på ét segment skaber præcis det rod, du forventer.

For instrumentet er et dedikeret testsegment normalt et bedre match end kontorets LAN. Hold administrationsadgang uden for eksperimentet, og definér, hvordan den midlertidige deltager fjernes, når arbejdet er slut.

Filtrering findes i begge topologier

En bro er ikke iboende ufiltrerbar, og en rute er ikke iboende sikker. Linux-brofiltrering har sine egne hooks og sin egen regelsyntaks, og en regel skrevet til rutet IP-videresendelse gælder ikke automatisk for broede rammer.

Tjek, hvad platformen faktisk understøtter, før du lover en grænse:

bridge link show
nft list ruleset

TUN og TAP beskriver grænsefladens trafik, ikke chifferet. At skifte grænseflader løser intet af det: peer-godkendelse, en stjålen nøgle og en forældet kryptografisk politik overlever alle ændringen. Begge ender har stadig brug for indstillinger, der matcher og stadig understøttes.

Bevis grænsen med tre forsøg

Accept er tre observationer, ikke en gennemgang af diagrammet. Den krævede handling skal virke, en urelateret destination skal fejle, og gatewayens egne administrationstjenester skal forblive uden for rækkevidde.

Kør den tilladte og den afviste vej fra samme klient, og notér begge:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

For en bro tilføjes linkniveau-tjekkene: om den tilladte opdagelsestrafik krydser, om adressering kommer fra den tilsigtede autoritet, og om den midlertidige deltager er væk efter fjernelse. Når almindelig rutet IP allerede opfylder kravet, kræver tilslutning til kontorets Ethernet-segment en særskilt begrundelse, og den skal skrives ned før ændringen.