שלוש דרכים לעבוד על פני כמה VPN בלי בלבול

שתי מנהרות לקוח, מחשב נייד אחד ולשונית דפדפן שעודנה מחוברת למקום שבו היא לא אמורה להיות. החלק הקשה בעבודה על פני כמה רשתות פרטיות אינו ההתחברות; הוא לדעת לאיזה הקשר שייך חלון כשמחליפים. סביבת עבודה עונה על השאלה הזאת: זהות אחת, קבוצת יישומים אחת, מדיניות פותר אחת ומקום אחד להסתכל בו כשמשהו נפתר לא נכון. ביום רע זה ההבדל בין תיקון של חמש דקות לדליפת נתונים.

החליטו אם העבודה היא במקביל

אם התשובה היא לא, עצרו כאן והשתמשו בסידור הפשוט ביותר הזמין. חיבור מאושר אחד בכל רגע, שמתחבר ומתנתק דרך הלקוח שמחזיק בפרופיל, מסיר מחלקה שלמה של כשלים לפני שאחד מהם יכול להתרחש.

המקביליות היא מה שמעלה את המחיר: קידומות חופפות, שתי מדיניות פותר ושתי קבוצות של מצב יישומים צריכים להיות מופרדים בכוונה, לא לפי זמן.

כתבו את הדרישה בכנות, כי לרצות להימנע מחיבור מחדש אינו אותו דבר כמו להזדקק לשתי הרשתות בעת ובעונה אחת.

עוקב הוא הסידור הזול ביותר

עבודה עוקבת אינה זקוקה לתשתית נוספת, ואופן הכשל שלה הוא הפעלה מיושנת ולא התנגשות ניתוב. המשמעת היא במסירה: סיימו את הפעולה, סגרו את מה שמחזיק חיבור, התנתקו ואשרו את החיבור הבא לפני שמתחילים לעבוד.

לשונית דפדפן או מסוף שנשארים פתוחים אינם נושאים את הקשר הרשת שלהם איתם. הבקשה הבאה שלהם הולכת לאן שהמכונה מנתבת עכשיו, וזה יכול להיות הלקוח האחר.

תייגו פרופילים לפי לקוח ולא לפי פרוטוקול, והשאירו את בעל אישורי הגישה גלוי בשם הפרופיל. פרופיל בשם work2 לא אומר לאיש דבר ברגע של החלפה נמהרת.

היתרון של הסידור הזה הוא שהוא ניתן לביקורת. בכל רגע יש הקשר רשת אחד, והיומן מראה מתי הוא השתנה.

סביבת עבודה לכל לקוח עולה בבידוד

מכונה וירטואלית או סביבת פיתוח מרוחקת לכל לקוח שמה את הלקוח, היישומים והשמות במקום אחד. ההחלפה הופכת להחלפת חלון במקום החלפת רשת, ושני ההקשרים אינם יכולים לדלוף זה לזה דרך נתיב תועה.

זה לא בחינם. עכשיו אתם מתחזקים שתי מערכות או שלוש, מטליאים אותן ומחליטים היכן חיים קבצים ואישורי גישה. המכונה הווירטואלית מגיעה לאינטרנט גם דרך המארח, ולכן הנתיב החיצוני שלה הוא עדיין הנתיב של המחשב הנייד שלכם.

בדקו שהלקוח וכל מדיניות מצב התקן מתירים את הסביבה הזאת לפני שאתם בונים את ההרגל סביבה. לקוח שמסרב לרוץ במכונה וירטואלית הוא עובדה שיש לגלות מוקדם.

שער משותף הוא תשתית

נתב נפרד שנושא תעבורה נבחרת הופך את הבעיה לתכנון רשת. הוא עובד היטב כשכמה אנשים זקוקים לאותה רשת לקוח, והוא נכשל כשמישהו מתייחס אליו כאל קופסת קסמים שמחזיקה כל לקוח בנפרד.

שער אחד שמחליף את המנהרה הפעילה שלו הוא הקשר משותף אחד עם תור, ולא כמה רשתות עצמאיות. תנו שם למי רשאי לשנות אותו, לאילו מקורות הוא משרת ומה קורה כששני אנשים זקוקים ללקוחות שונים בו-זמנית. בלי התשובה הזאת השער הופך למקור של הפסקות שאין להן בעלים. הוא גם הופך למקום שבו מישהו מכבה בשקט בדיקה כדי לעמוד במועד.

כתבו את המסירה ברשומה

הרשומה לא צריכה להיות מתוחכמת; היא צריכה להיות ספציפית מספיק כדי שמישהו אחר יוכל לעקוב אחריה. בלינוקס, מרחב שמות הוא הגרסה הטכנית של אותו רעיון, עם הממשקים וטבלת הניתוב שלו.

הפקודות האלה יוצרות מרחב שמות, מריצות פקודה בתוכו ומראות אילו חיבורים לקוח שולחן העבודה מחזיק כרגע:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

עדיין צריך להפעיל יישומים בתוך מרחב השמות, ותצורת הפותר שבתוכו היא קובץ נפרד. בידוד ממשקים אינו מבודד את לוח הגזירים, את סוכן ה-SSH או שיתוף מותקן, ואלה הדליפות שאנשים שוכחים.

בחרו את הסידור הקטן ביותר שמשמר את ההפרדה שאתם באמת צריכים, והשאירו את המעבר גלוי: כותרת החלון, הנחיית המסוף, שם הפרופיל ובעל אישורי הגישה צריכים כולם להסכים לפני שנשלחת בקשה פרטית כלשהי.