VPN με δρομολόγηση ή γέφυρα: επιλέξτε με βάση το τι πρέπει να φτάσει ο πελάτης

Δύο αιτήματα φτάνουν την ίδια μέρα: ένας χρήστης χρειάζεται μια εσωτερική διαδικτυακή εφαρμογή και ένας μηχανικός χρειάζεται ένα όργανο πάγκου να συμπεριφέρεται σαν να βρίσκεται στο ίδιο τμήμα Ethernet. Και στα δύο απαντούν βάλτε τα στο VPN, και εκεί αρχίζει το πρόβλημα. Μια σήραγγα με δρομολόγηση και μια σήραγγα με γέφυρα εκτείνουν διαφορετικές σχέσεις, και μόνο μία από αυτές ταιριάζει σε κάθε αίτημα. Η επιλογή τοπολογίας είναι απόφαση πρόσβασης, όχι ρύθμιση κρυπτογραφίας.

Δύο αιτήματα που μοιάζουν ίδια στο γκισέ

Η απαίτηση του εργαζομένου είναι μια υπηρεσία, προσβάσιμη μέσω IP, από συσκευή που δεν ελέγχετε. Η απαίτηση του μηχανικού είναι σε επίπεδο ζεύξης: το όργανο περιμένει να βλέπει πλαίσια Ethernet και ανακάλυψη με εκπομπή, και ίσως DHCP από το τμήμα στο οποίο νομίζει ότι βρίσκεται.

Αυτά είναι διαφορετικά ερωτήματα, και η απάντηση και στα δύο με γέφυρα διευρύνει την πρόσβαση του εργαζομένου σε όλο το LAN του γραφείου χωρίς λόγο.

Γράψτε την απαίτηση ως πρόταση πριν επιλέξετε: ποιοι προορισμοί, ποια πρωτόκολλα και ποιοι ομότιμοι πρέπει να φαίνονται τοπικοί. Αν η απάντηση είναι ένας κόμβος και μια θύρα, η δρομολόγηση το καλύπτει. Αν η απάντηση είναι σχέση σε επίπεδο πλαισίου με συσκευές που μιλούν μόνο εκπομπή, η γέφυρα μπορεί να είναι η μόνη επιλογή. Ό,τι βρίσκεται ενδιάμεσα αξίζει τμήμα δοκιμής αντί για το LAN παραγωγής.

Μια διαδρομή είναι στενότερη από τη συμμετοχή στο LAN

Ένας πελάτης με δρομολόγηση παίρνει διεύθυνση σε υποδίκτυο σήραγγας και διαδρομές για τα προθέματα που επιλέγετε. Μπορεί να φτάσει τον διακομιστή εφαρμογών και τίποτα άλλο, αν αυτό λέει η πολιτική. Η πύλη γίνεται το σημείο επιβολής, με την προϋπόθεση ότι κάθε σχετική διαδρομή τη διασχίζει.

Μην μπερδεύετε μια διαδρομή με μια άδεια. Το να πείτε σε έναν πελάτη πώς να φτάσει ένα υποδίκτυο δεν τον εμποδίζει να δοκιμάσει άλλον προορισμό.

Εφαρμόστε έλεγχο πρόσβασης εκεί όπου μπορεί πραγματικά να επιβάλει τη ροή, και κρατήστε τα δικά της δικαιώματα της εφαρμογής. Ένας ευρύς κανόνας προώθησης ή μια ξεχασμένη δεύτερη διεπαφή μπορεί να δώσει περισσότερα απ’ όσα υπονοεί το διάγραμμα. Διαβάστε τους ισχύοντες κανόνες, όχι τους προβλεπόμενους. Μετά δοκιμάστε έναν προορισμό που θα έπρεπε να αποτύχει, γιατί μια πολιτική που κανείς δεν προσπάθησε να παραβιάσει είναι υπόθεση.

Μια γέφυρα αλλάζει το ερώτημα εισδοχής

Η γεφύρωση συνδυάζει μια φυσική διεπαφή και μια συσκευή TAP σε έναν διακόπτη λογισμικού, ώστε οι απομακρυσμένες συσκευές να ενώνονται στο ίδιο πεδίο εκπομπής. Αυτή είναι πραγματική δυνατότητα και πραγματικός κίνδυνος: η απομακρυσμένη συσκευή δεν είναι πια φιλοξενούμενος με δρομολόγηση, είναι συμμετέχων.

Αποφασίστε ποιες συσκευές μπορούν να ενωθούν, ποιοι τύποι πλαισίων πρέπει να περνούν και πού μπλοκάρεται η ανεπιθύμητη αλληλεπίδραση. Η διευθυνσιοδότηση και η εξουσία DHCP γίνονται μέρος του κοινού δικτύου, και δύο διακομιστές DHCP σε ένα τμήμα παράγουν ακριβώς το χάος που περιμένετε.

Για το όργανο, ένα αποκλειστικό τμήμα δοκιμής ταιριάζει συνήθως καλύτερα από το LAN του γραφείου. Κρατήστε την πρόσβαση διαχείρισης έξω από το πείραμα και ορίστε πώς αφαιρείται ο προσωρινός συμμετέχων όταν τελειώσει η εργασία.

Το φιλτράρισμα υπάρχει και στις δύο τοπολογίες

Μια γέφυρα δεν είναι εγγενώς μη φιλτραρίσιμη, και μια διαδρομή δεν είναι εγγενώς ασφαλής. Το φιλτράρισμα γεφυρών στο Linux έχει δικά του άγκιστρα και δική του σύνταξη κανόνων, και ένας κανόνας γραμμένος για προώθηση IP με δρομολόγηση δεν εφαρμόζεται αυτόματα σε πλαίσια γέφυρας.

Ελέγξτε τι υποστηρίζει πραγματικά η πλατφόρμα πριν υποσχεθείτε όρια:

bridge link show
nft list ruleset

Τα TUN και TAP περιγράφουν την κίνηση της διεπαφής, όχι τον κρυπταλγόριθμο. Η αλλαγή διεπαφών δεν διορθώνει τίποτα από αυτά: ο έλεγχος ταυτότητας ομοτίμων, ένα κλεμμένο κλειδί και μια παρωχημένη κρυπτογραφική πολιτική επιβιώνουν όλα από την αλλαγή. Και τα δύο άκρα χρειάζονται ακόμη ρυθμίσεις που ταιριάζουν και εξακολουθούν να υποστηρίζονται.

Αποδείξτε τα όρια με τρεις προσπάθειες

Η αποδοχή είναι τρεις παρατηρήσεις, όχι ανασκόπηση διαγράμματος. Η απαιτούμενη λειτουργία πρέπει να δουλεύει, ένας άσχετος προορισμός πρέπει να αποτυγχάνει, και οι ίδιες οι υπηρεσίες διαχείρισης της πύλης πρέπει να μένουν εκτός εμβέλειας.

Εκτελέστε τη επιτρεπόμενη και την απαγορευμένη διαδρομή από τον ίδιο πελάτη και καταγράψτε και τις δύο:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Για μια γέφυρα, προσθέστε τους ελέγχους επιπέδου ζεύξης: αν περνά η επιτρεπόμενη κίνηση ανακάλυψης, αν η διευθυνσιοδότηση έρχεται από την προβλεπόμενη αρχή και αν ο προσωρινός συμμετέχων έχει φύγει μετά την αφαίρεση. Όταν η απλή δρομολογημένη IP ικανοποιεί ήδη την απαίτηση, η ένωση στο τμήμα Ethernet του γραφείου χρειάζεται ξεχωριστή αιτιολόγηση, και πρέπει να γραφτεί πριν από την αλλαγή.