Marsruuditud või sildatud VPN: vali selle järgi, milleni klient peab jõudma

Samal päeval saabub kaks piletit: üks kasutaja vajab sisemist veebirakendust ja üks insener vajab, et pingipinkseade käituks, nagu seisaks see samas Etherneti segmendis. Mõlemale vastatakse pane need VPN-i, ja just sealt algab jama. Marsruuditud tunnel ja sildatud tunnel loovad erinevaid suhteid ning igale päringule sobib neist ainult üks. Topoloogia valimine on juurdepääsuotsus, mitte krüptograafia seade.

Kaks päringut, mis piletiletis ühesugused välja näevad

Töötaja nõue on teenus, mis on kättesaadav IP kaudu seadmest, mida te ei kontrolli. Inseneri nõue on lingikihis: seade ootab Etherneti kaadrite ja ringhäälingu teadete nägemist, ja võib-olla DHCP-st sellest segmendist, kus ta arvab end olevat.

Need on erinevad küsimused ja mõlemale sillaga vastamine laiendab töötaja juurdepääsu põhjuseta kogu kontori LAN-ile.

Kirjuta nõue enne valimist lausena üles: millised sihtkohad, millised protokollid ja millised partnerid peavad paistma kohalikena. Kui vastuseks on host ja port, katab marsruutimine selle. Kui vastuseks on kaadritasandi suhe seadmetega, mis räägivad ainult ringhäälingut, võib sild olla ainus valik. Kõik vahepealne väärib testsegmenti, mitte tootmise LAN-i.

Marsruut on kitsam kui LAN-i liikmelisus

Marsruuditud klient saab aadressi tunnelialavõrgus ja marsruudid sinu valitud prefiksitele. Ta pääseb rakendusserverini ja mitte millenigi muuni, kui poliitika nii ütleb. Lüüs muutub jõustamispunktiks eeldusel, et iga asjakohane tee läbib selle.

Ära aja marsruuti segamini loaga. Kliendile ütlemine, kuidas alavõrku jõuda, ei takista teda proovimast teist sihtkohta.

Rakenda juurdepääsukontrolli seal, kus see saab voogu tõesti jõustada, ja jäta rakenduse enda õigused paigale. Lai edastusreegel või unustatud teine liides võib anda rohkem, kui skeem vihjab. Loe kehtivaid reegleid, mitte kavatsetud reegleid. Seejärel testi sihtkohta, mis peaks ebaõnnestuma, sest poliitika, mida keegi pole proovinud rikkuda, on hüpotees.

Sild muudab vastuvõtuküsimust

Sildamine ühendab füüsilise liidese ja TAP-seadme tarkvaraliseks kommutaatoriks, nii et kaugseadmed liituvad sama ringhäälingu domeeniga. See on tõeline võimekus ja tõeline risk: kaugseade ei ole enam marsruuditud külaline, vaid osaleja.

Otsusta, millised seadmed tohivad liituda, millised kaadritüübid peavad läbima ja kus soovimatu vastastikmõju blokeeritakse. Adresseerimine ja DHCP-volitus muutuvad jagatud võrgu osaks ning kaks DHCP-serverit ühes segmendis tekitavad täpselt selle segaduse, mida ootad.

Seadme jaoks sobib tavaliselt paremini eraldatud testsegment kui kontori LAN. Hoia haldusjuurdepääs katsest väljas ja määra, kuidas ajutine osaleja pärast töö lõppu eemaldatakse.

Filtreerimine on olemas mõlemas topoloogias

Sild ei ole olemuslikult filtreerimatu ja marsruut ei ole olemuslikult turvaline. Linuxi silla filtreerimisel on oma konksud ja oma reeglisüntaks ning marsruuditud IP edastuse jaoks kirjutatud reegel ei kehti automaatselt sildatud kaadritele.

Enne piiri lubamist kontrolli, mida platvorm tegelikult toetab:

bridge link show
nft list ruleset

TUN ja TAP kirjeldavad liidese liiklust, mitte šifrit. Liideste vahetamine ei paranda sellest midagi: partnerite autentimine, varastatud võti ja aegunud krüptograafiapoliitika jäävad kõik muudatuse üle. Mõlemad otsad vajavad endiselt seadeid, mis sobivad ja mida endiselt toetatakse.

Tõesta piir kolme katsega

Vastuvõtt on kolm vaatlust, mitte skeemi ülevaatus. Nõutav toiming peab töötama, mitteseotud sihtkoht peab ebaõnnestuma ja lüüsi enda haldusteenused peavad jääma kättesaamatusse.

Käivita lubatud ja keelatud tee samast kliendist ning kirjuta mõlemad üles:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Silla puhul lisa lingikihi kontrollid: kas lubatud avastusliiklus läbib, kas adresseerimine tuleb kavatsetud volitajalt ja kas ajutine osaleja on pärast eemaldamist kadunud. Kui tavaline marsruuditud IP juba nõuet täidab, vajab kontori Etherneti segmendiga liitumine eraldi põhjendust ja see tuleb enne muudatust kirja panna.