Rûte of brêge VPN: kies op basis fan wat de klant berikke moat

Twa kaartsjes komme deselde dei binnen: ien brûker hat in ynterne webapp nedich, en ien yngenieur hat in bankynstrumint nedich dat him gedraacht as stiet it op itselde Ethernet-segmint. Beide wurde beäntwurde mei set se op ‘e VPN, en dêr begjint de ellinde. In rûte tunnel en in brêge tunnel spriede ferskillende relaasjes út, en mar ien fan beide past by elk fersyk. De topology kieze is in tagongsbeslissing, net in kryptografy-ynstelling.

Twa fersiken dy’t by de kaartsjestafel itselde lykje

De eask fan de wurknimmer is in tsjinst, berikber oer IP, fan in apparaat dat jo net beheare. De eask fan de yngenieur is op keppelnivo: it ynstrumint ferwachtet Ethernet-ramen en broadcast-ûntdekking te sjen, en miskien DHCP fan it segmint dêr’t it mient te wêzen.

Dat binne ferskillende fragen, en beide mei in brêge beäntwurdzje ferbredelet de tagong fan de wurknimmer nei it hiele kantoar-LAN sûnder reden.

Skriuw de eask as in sin foardat jo kieze: hokker bestimmingen, hokker protokollen en hokker pearen moatte lokaal lykje. As it antwurd in host en in poarte is, dekt rûting it. As it antwurd in relaasje op raamnivo is mei apparaten dy’t allinnich broadcast prate, kin de brêge de iennichste opsje wêze. Alles dertusken fertsjinnet in testsegmint ynstee fan it produksje-LAN.

In rûte is smeller as LAN-lidmaatskip

In rûte klant krijt in adres op in tunnel-subnet en rûtes foar de prefiksen dy’t jo kieze. It kin de applikaasjeserver berikke en neat oars, as dat is wat it belied seit. De gateway wurdt it hanthaveningspunt, mits elk relevant paad it krúst.

Ferwikselje in rûte net mei in tastimming. In klant fertelle hoe’t er in subnet berikt, stopet him net om in oare bestimming te besykjen.

Pas tagongskontrôle tap wêr’t it de stream wier hanthavenje kin, en hâld de eigen tastimmingen fan de applikaasje op har plak. In brede trochstjoerregel of in fergetten twadde ynterface kin mear jaan as it diagram suggerearret. Lês de effektive regels, net de bedoelde. Test dan in bestimming dy’t mislearje moat, want in belied dat nimmen besocht hat te oertrêdzjen is in hypoteze.

In brêge feroaret de talittingsfraach

Bridging kombinearret in fysike ynterface en in TAP-apparaat ta in software-switch, sadat fiere apparaten by itselde broadcast-domein oanslute. Dat is in echte kapasiteit en in echt risiko: it fiere apparaat is net langer in rûte gast, it is in dielnimmer.

Beslis hokker apparaten oanslute meie, hokker raamtypen passearje moatte en wêr’t net winske ynteraksje blokkearre wurdt. Adressearring en DHCP-autoriteit wurde part fan it dielde netwurk, en twa DHCP-servers op ien segmint produsearje krekt de rommel dy’t jo ferwachtsje.

Foar it ynstrumint past in tawijd testsegmint meast better as it kantoar-LAN. Hâld behearderstagong bûten it eksperimint, en definiearje hoe’t de tydlike dielnimmer fuorthelle wurdt as it wurk dien is.

Filtering bestiet yn beide topologys

In brêge is net fan natuere net te filterjen, en in rûte is net fan natuere feilich. Linux-brêgefiltering hat syn eigen haken en syn eigen regel-syntaksis, en in regel skreaun foar rûte IP-trochstjoering jildt net automatysk foar brêge ramen.

Kontrolearje wat it platfoarm wier stipet foardat jo in grins ûnthjitte:

bridge link show
nft list ruleset

TUN en TAP beskriuwe it ferkear fan de ynterface, net it sjifer. Ynterfaces wikselje reparearret dêr neat fan: peer-autentikaasje, in stellen kaai en in ferâldere kryptografybelied oerlibje allegear de feroaring. Beide einen hawwe noch ynstellingen nedich dy’t oerienkomme en noch stipe wurde.

Bewiis de grins mei trije besykjen

Akseptaasje is trije observaasjes, net in diagramresinsje. De easke operaasje moat wurkje, in net-relatearre bestimming moat mislearje, en de eigen behearstsjinsten fan de gateway moatte bûten berik bliuwe.

Rin it tastiene en it wegere paad fan deselde klant, en registrearje beide:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Foar in brêge foegje de keppelnivo-kontrôles ta: of it tastiene ûntdekkingsferkear passearret, of adressearring fan de bedoelde autoriteit komt, en of de tydlike dielnimmer nei it fuortheljen fuort is. As gewoane rûte IP de eask al foldocht, hat oanslute by it kantoar-Ethernet-segmint in aparte rjochtfeardiging nedich, en dy moat foar de feroaring opskreaun wurde.