Tres xeitos de traballar con varias VPN sen confusión

Dous túneles de cliente, un portátil e unha pestana do navegador que segue coa sesión iniciada onde non debería. A parte difícil de traballar con varias redes privadas non é conectarse; é saber a que contexto pertence unha ventá cando se cambia. Un espazo de traballo responde a esa pregunta: unha identidade, un conxunto de aplicacións, unha política de resolución e un lugar onde mirar cando algo se resolve mal. Nun mal día é a diferenza entre un arranxo de cinco minutos e unha fuga de datos.

Decida se o traballo é simultáneo

Se a resposta é non, detéñase aquí e use a disposición máis simple dispoñible. Unha conexión aprobada á vez, conectada e desconectada mediante o cliente que posúe o perfil, elimina toda unha clase de fallos antes de que poida ocorrer ningún.

A simultaneidade é o que eleva o custo: prefixos solapados, dúas políticas de resolución e dous conxuntos de estado de aplicacións deben separarse deliberadamente, non polo tempo.

Escriba o requisito con honestidade, porque querer evitar unha reconexión non é o mesmo que necesitar ambas as redes á vez.

O secuencial é a disposición máis barata

O traballo secuencial non necesita infraestrutura adicional, e o seu modo de fallo é unha sesión obsoleta en lugar dun conflito de encamiñamento. A disciplina está no traspaso: remate a operación, peche o que mantén unha conexión, desconecte e confirme a seguinte conexión antes de comezar a traballar.

Unha pestana do navegador ou un terminal que permanece aberto non leva consigo o seu contexto de rede. A súa seguinte petición vai onde a máquina encamiña agora, que pode ser o outro cliente.

Etiquete os perfís por cliente en lugar de por protocolo, e manteña visible o propietario das credenciais no nome do perfil. Un perfil chamado work2 non lle di nada a ninguén no momento dun cambio apresurado.

A vantaxe desta disposición é que é auditable. En calquera instante hai un só contexto de rede, e o rexistro mostra cando cambiou.

Un espazo de traballo por cliente custa illamento

Unha máquina virtual ou un contorno de desenvolvemento remoto por cliente pon o cliente, as aplicacións e os nomes nun só lugar. O cambio pasa a ser un cambio de ventá en lugar dun cambio de rede, e os dous contextos non poden filtrarse entre si por unha ruta extraviada.

Non é gratis. Agora mantén dous ou tres sistemas, párcheos e decide onde viven os ficheiros e as credenciais. A máquina virtual tamén chega a internet a través do anfitrión, así que a súa ruta exterior segue sendo a ruta do seu portátil.

Comprobe que o cliente e calquera política de estado do dispositivo permiten ese contorno antes de construír o hábito arredor del. Un cliente que se nega a executarse nunha máquina virtual é un feito que convén descubrir pronto.

Unha pasarela compartida é infraestrutura

Un encamiñador separado que transporta tráfico seleccionado converte o problema nun deseño de rede. Funciona ben cando varias persoas necesitan a mesma rede de cliente, e falla cando alguén o trata como unha caixa máxica que mantén separado cada cliente.

Unha pasarela que cambia o seu túnel activo é un único contexto compartido cunha cola, non varias redes independentes. Nomee quen pode cambiala, que fontes serve e que ocorre cando dúas persoas necesitan clientes distintos ao mesmo tempo. Sen esa resposta, a pasarela convértese nunha fonte de interrupcións que ninguén posúe. Tamén se converte no lugar onde alguén desactiva en silencio unha comprobación para cumprir un prazo.

Escriba o traspaso nun rexistro

O rexistro non necesita ser sofisticado; necesita ser o bastante concreto para que outra persoa poida seguilo. En Linux, un espazo de nomes é a versión técnica da mesma idea, coas súas propias interfaces e a súa propia táboa de encamiñamento.

Estes comandos crean un espazo de nomes, executan un comando dentro del e mostran que conexións mantén agora o cliente de escritorio:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

As aplicacións aínda teñen que iniciarse dentro do espazo de nomes, e a configuración de resolución que hai dentro é un ficheiro aparte. Illar as interfaces non illa o portapapeis, o axente SSH nin un recurso compartido montado, e esas son as fugas que a xente esquece.

Escolla a disposición máis pequena que preserve a separación que realmente necesita, e manteña a transición visible: o título da ventá, o indicador do terminal, o nome do perfil e o propietario das credenciais deben coincidir antes de enviar calquera petición privada.