Tri manieroj labori trans pluraj VPN-oj sen konfuziĝo

Du klientaj tuneloj, unu tekkomputilo kaj retumila langeto, kiu ankoraŭ ensalutis ie, kie ĝi ne devus. La malfacila parto de laboro trans pluraj privataj retoj ne estas konekti; ĝi estas scii, al kiu kunteksto fenestro apartenas, kiam vi ŝaltas. Laborujo respondas tiun demandon: unu identeco, unu aro da aplikaĵoj, unu solvila politiko kaj unu loko por rigardi, kiam io solviĝas malĝuste. En malbona tago tio estas la diferenco inter kvinminuta ripeto kaj datuma liko.

Decidu, ĉu la laboro estas samtempa

Se la respondo estas ne, haltu ĉi tie kaj uzu la plej simplan disponeblan aranĝon. Unu aprobita konekto samtempe, konektata kaj malkonektata per la kliento, kiu posedas la profilon, forigas tutan klason da paneoj antaŭ ol iu ajn povas okazi.

Samtempeco levas la koston: interkovrantaj prefiksoj, du solvilaj politikoj kaj du aroj da aplikaĵa stato devas esti apartigitaj intence, ne per tempo.

Skribu la postulon honeste, ĉar voli eviti rekonekton ne samas kiel bezoni ambaŭ retojn samtempe.

Sekvado estas la plej malmultekosta aranĝo

Sekva laboro bezonas neniun plian infrastrukturon, kaj ĝia panea reĝimo estas malaktuala seanco anstataŭ enkursiga konflikto. La disciplino estas en la transdono: finu la operacion, fermu tion, kio tenas konekton, malkonektiĝu kaj konfirmu la sekvan konekton antaŭ ol komenci labori.

Retumila langeto aŭ terminalo, kiu restas malfermita, ne portas sian retan kuntekston kun si. Ĝia sekva peto iras tien, kien la maŝino nun enkursigas, kio povas esti la alia kliento.

Etikedu profilojn laŭ kliento anstataŭ laŭ protokolo, kaj tenu la posedanton de la akreditaĵoj videbla en la profila nomo. Profilo nomata work2 diras al neniu ion en la momento de hastema ŝalto.

La avantaĝo de ĉi tiu aranĝo estas, ke ĝi estas revidebla. En ĉiu momento ekzistas unu reta kunteksto, kaj la protokolo montras, kiam ĝi ŝanĝiĝis.

Laborujo por ĉiu kliento kostas izoladon

Virtuala maŝino aŭ fora evoluiga medio por ĉiu kliento metas la klienton, la aplikaĵojn kaj la nomojn en unu lokon. Ŝaltado fariĝas fenestra ŝanĝo anstataŭ reta ŝanĝo, kaj la du kuntekstoj ne povas liki unu en la alian tra erarvaganta itinero.

Ĝi ne estas senpaga. Vi nun prizorgas du aŭ tri sistemojn, flikas ilin kaj decidas, kie loĝas dosieroj kaj akreditaĵoj. La virtuala maŝino ankaŭ atingas la interreton tra la gastiganto, do ĝia ekstera vojo ankoraŭ estas la vojo de via tekkomputilo.

Kontrolu, ke la kliento kaj iu ajn politiko pri aparata stato permesas tiun medion antaŭ ol konstrui la kutimon ĉirkaŭ ĝi. Kliento, kiu rifuzas ruliĝi en virtuala maŝino, estas fakto malkovrinda frue.

Komuna enirejo estas infrastrukturo

Aparta enkursigilo, kiu portas elektitan trafikon, igas la problemon reta dezajno. Ĝi bone funkcias, kiam pluraj homoj bezonas la saman klientan reton, kaj ĝi malsukcesas, kiam iu traktas ĝin kiel magian skatolon, kiu tenas ĉiun klienton aparte.

Unu enirejo, kiu ŝaltas sian aktivan tunelon, estas unu komuna kunteksto kun atendovico, ne pluraj sendependaj retoj. Nomu, kiu rajtas ŝanĝi ĝin, kiujn fontojn ĝi servas kaj kio okazas, kiam du homoj bezonas malsamajn klientojn samtempe. Sen tiu respondo la enirejo fariĝas fonto de interrompoj, kiujn neniu posedas. Ĝi ankaŭ fariĝas la loko, kie iu silente malŝaltas kontrolon por atingi limdaton.

Skribu la transdonon en rikordon

La rikordo ne bezonas esti rafinita; ĝi devas esti sufiĉe preciza, ke alia persono povu sekvi ĝin. En Linukso, nomspaco estas la teknika versio de la sama ideo, kun propraj interfacoj kaj enkursiga tabelo.

Ĉi tiuj komandoj kreas nomspacon, rulas komandon ene de ĝi kaj montras, kiujn konektojn la labortabla kliento nun tenas:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Aplikaĵoj ankoraŭ devas esti lanĉataj ene de la nomspaco, kaj la solvila agordo ene de ĝi estas aparta dosiero. Izoli interfacojn ne izolas la tondujon, la SSH-agenton aŭ muntitan kunhavon, kaj tiuj estas la likoj, kiujn homoj forgesas.

Elektu la plej malgrandan aranĝon, kiu konservas la apartigon, kiun vi vere bezonas, kaj tenu la transiron videbla: fenestra titolo, terminala invito, profila nomo kaj posedanto de akreditaĵoj ĉiuj devas kongrui antaŭ ol sendi iun privatan peton.