Tres formas de trabajar con varias VPN sin confusión

Dos túneles de cliente, un portátil y una pestaña del navegador que sigue con la sesión abierta donde no debería. La parte difícil de trabajar con varias redes privadas no es conectarse; es saber a qué contexto pertenece una ventana cuando se cambia. Un espacio de trabajo responde a esa pregunta: una identidad, un conjunto de aplicaciones, una política de resolución y un lugar donde mirar cuando algo se resuelve mal. En un mal día es la diferencia entre un arreglo de cinco minutos y una fuga de datos.

Decida si el trabajo es simultáneo

Si la respuesta es no, deténgase aquí y use la disposición más simple disponible. Una conexión aprobada a la vez, conectada y desconectada mediante el cliente que posee el perfil, elimina toda una clase de fallos antes de que pueda ocurrir ninguno.

La simultaneidad es lo que eleva el coste: prefijos solapados, dos políticas de resolución y dos conjuntos de estado de aplicaciones deben separarse deliberadamente, no por tiempo.

Escriba el requisito con honestidad, porque querer evitar una reconexión no es lo mismo que necesitar ambas redes a la vez.

Lo secuencial es la disposición más barata

El trabajo secuencial no necesita infraestructura adicional, y su modo de fallo es una sesión obsoleta en lugar de un conflicto de enrutamiento. La disciplina está en el traspaso: termine la operación, cierre lo que mantiene una conexión, desconecte y confirme la siguiente conexión antes de empezar a trabajar.

Una pestaña del navegador o un terminal que permanece abierto no lleva consigo su contexto de red. Su siguiente petición va adonde la máquina enruta ahora, que puede ser el otro cliente.

Etiquete los perfiles por cliente en lugar de por protocolo, y mantenga visible al propietario de las credenciales en el nombre del perfil. Un perfil llamado work2 no le dice nada a nadie en el momento de un cambio apresurado.

La ventaja de esta disposición es que es auditable. En cualquier instante hay un solo contexto de red, y el registro muestra cuándo cambió.

Un espacio de trabajo por cliente cuesta aislamiento

Una máquina virtual o un entorno de desarrollo remoto por cliente pone al cliente, las aplicaciones y los nombres en un solo lugar. El cambio pasa a ser un cambio de ventana en lugar de un cambio de red, y los dos contextos no pueden filtrarse entre sí por una ruta extraviada.

No es gratis. Ahora mantiene dos o tres sistemas, los parchea y decide dónde viven los archivos y las credenciales. La máquina virtual también llega a internet a través del anfitrión, así que su ruta exterior sigue siendo la ruta de su portátil.

Compruebe que el cliente y cualquier política de estado del dispositivo permitan ese entorno antes de construir el hábito en torno a él. Un cliente que se niega a ejecutarse en una máquina virtual es un hecho que conviene descubrir pronto.

Una pasarela compartida es infraestructura

Un router separado que transporta tráfico seleccionado convierte el problema en un diseño de red. Funciona bien cuando varias personas necesitan la misma red de cliente, y falla cuando alguien lo trata como una caja mágica que mantiene separado a cada cliente.

Una pasarela que cambia su túnel activo es un único contexto compartido con una cola, no varias redes independientes. Nombre quién puede cambiarla, qué fuentes sirve y qué ocurre cuando dos personas necesitan clientes distintos al mismo tiempo. Sin esa respuesta, la pasarela se convierte en una fuente de interrupciones que nadie posee. También se convierte en el lugar donde alguien desactiva en silencio una comprobación para cumplir un plazo.

Escriba el traspaso en un registro

El registro no necesita ser sofisticado; necesita ser lo bastante concreto para que otra persona pueda seguirlo. En Linux, un espacio de nombres es la versión técnica de la misma idea, con sus propias interfaces y su propia tabla de enrutamiento.

Estos comandos crean un espacio de nombres, ejecutan un comando dentro de él y muestran qué conexiones mantiene ahora el cliente de escritorio:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Las aplicaciones todavía tienen que iniciarse dentro del espacio de nombres, y la configuración de resolución que hay dentro es un archivo aparte. Aislar las interfaces no aísla el portapapeles, el agente SSH ni un recurso compartido montado, y esas son las fugas que la gente olvida.

Elija la disposición más pequeña que preserve la separación que realmente necesita, y mantenga la transición visible: el título de la ventana, el indicador del terminal, el nombre del perfil y el propietario de las credenciales deben coincidir antes de enviar cualquier petición privada.