Ուղղորդված կամ կամրջված VPN՝ ըստ այն բանի, ինչին պետք է հասնի հաճախորդը

Նույն օրը գալիս են երկու տոմս՝ մի օգտատիրոջ պետք է ներքին վեբ հավելված, իսկ մի ինժեների պետք է, որ ստենդային սարքը վարվի այնպես, կարծես նույն Ethernet սեգմենտում է։ Երկուսին էլ պատասխանում են՝ դրեք նրանց VPN-ի վրա, և հենց այստեղ է սկսվում փորձանքը։ Ուղղորդված թունելը և կամրջված թունելը տարածում են տարբեր հարաբերություններ, և յուրաքանչյուր հարցմանը համապատասխանում է դրանցից միայն մեկը։ Տոպոլոգիա ընտրելը հասանելիքի որոշում է, ոչ թե գաղտնագրության կարգավորում։

Երկու հարցում, որոնք տոմսերի սեղանի մոտ նույնն են թվում

Աշխատակցի պահանջը ծառայություն է՝ հասանելի IP-ով, սարքից, որը դուք չեք կառավարում։ Ինժեների պահանջը կապող մակարդակի վրա է՝ սարքը ակնկալում է տեսնել Ethernet կադրեր և հեռարձակման հայտնաբերում, և հնարավոր է DHCP այն սեգմենտից, որտեղ ինքն իրեն պատկերացնում է։

Սրանք տարբեր հարցեր են, և երկուսին կամուրջով պատասխանելը առանց պատճառի ընդլայնում է աշխատակցի հասանելիքը ողջ գրասենյակային LAN-ի վրա։

Ընտրելուց առաջ պահանջը գրեք մեկ նախադասությամբ՝ ինչ նպատակակետեր, ինչ արձանագրություններ և ինչ գործընկերներ պետք է տեղական երևան։ Եթե պատասխանը հոսթ և պորտ է, ուղղորդումը ծածկում է այն։ Եթե պատասխանը կադրի մակարդակի հարաբերություն է սարքերի հետ, որոնք խոսում են միայն հեռարձակմամբ, ապա կամուրջը կարող է միակ տարբերակը լինել։ Մեջտեղում գտնվող ամեն ինչ արժանի է փորձնական սեգմենտի՝ արտադրական LAN-ի փոխարեն։

Ուղին ավելի նեղ է, քան LAN-ի անդամակցությունը

Ուղղորդված հաճախորդը ստանում է հասցե թունելի ենթացանցում և ուղիներ ձեր ընտրած նախածանցերի համար։ Այն կարող է հասնել հավելվածի սերվերին և ուրիշ ոչնչի, եթե դա է ասում քաղաքականությունը։ Դարպասը դառնում է կիրառման կետ, պայմանով, որ յուրաքանչյուր համապատասխան ուղի անցնում է դրա միջով։

Մի շփոթեք ուղին թույլտվության հետ։ Հաճախորդին ասելը, թե ինչպես հասնել ենթացանցին, չի խանգարում նրան փորձել այլ նպատակակետ։

Կիրառեք հասանելիքի վերահսկումը այնտեղ, որտեղ այն իսկապես կարող է կիրառել հոսքը, և պահպանեք հավելվածի սեփական թույլտվությունները։ Լայն փոխանցման կանոնը կամ մոռացված երկրորդ ինտերֆեյսը կարող են ավելի շատ բան տալ, քան հուշում է սխեման։ Կարդացեք գործող կանոնները, ոչ թե նախատեսվածները։ Ապա փորձարկեք նպատակակետ, որը պետք է ձախողվի, որովհետև քաղաքականությունը, որը ոչ ոք չի փորձել խախտել, ընդամենը վարկած է։

Կամուրջը փոխում է ընդունելության հարցը

Կամրջումը միավորում է ֆիզիկական ինտերֆեյսը և TAP սարքը ծրագրային անջատիչի մեջ, այնպես որ հեռավոր սարքերը միանում են նույն հեռարձակման տիրույթին։ Սա իրական հնարավորություն է և իրական ռիսկ. հեռավոր սարքն այլևս ուղղորդված հյուր չէ, այլ մասնակից։

Որոշեք, թե որ սարքերը կարող են միանալ, որ կադրերի տեսակները պետք է անցնեն, և որտեղ արգելափակվում է անցանկալի փոխազդեցությունը։ Հասցեավորումը և DHCP լիազորությունը դառնում են ընդհանուր ցանցի մաս, և մեկ սեգմենտում երկու DHCP սերվեր ստեղծում են հենց այն խառնաշփոթը, որ սպասում եք։

Սարքի համար հատուկ փորձնական սեգմենտը սովորաբար ավելի հարմար է, քան գրասենյակի LAN-ը։ Կառավարման հասանելիքը պահեք փորձից դուրս, և սահմանեք, թե ինչպես է ժամանակավոր մասնակիցը հեռացվում աշխատանքի ավարտին։

Զտումը գոյություն ունի երկու տոպոլոգիաներում էլ

Կամուրջն ի սկզբանե զտելի չէ, և ուղին ի սկզբանե անվտանգ չէ։ Linux-ի կամուրջների զտումն ունի իր կեռիկները և իր կանոնների շարահյուսությունը, և ուղղորդված IP փոխանցման համար գրված կանոնը ինքնաբերաբար չի կիրառվում կամրջված կադրերի վրա։

Ստուգեք, թե ինչն է պլատֆորմն իրականում աջակցում, նախքան սահման խոստանալը՝

bridge link show
nft list ruleset

TUN-ը և TAP-ը նկարագրում են ինտերֆեյսի երթևեկությունը, ոչ թե ծածկագիրը։ Ինտերֆեյսների փոխումը ոչինչ չի ուղղում դրանից. գործընկերների նույնականացումը, գողացված բանալին և հնացած գաղտնագրային քաղաքականությունը բոլորը վերապրում են փոփոխությունը։ Երկու ծայրերն էլ դեռ կարիք ունեն կարգավորումների, որոնք համընկնում են և դեռ աջակցվում են։

Ապացուցեք սահմանը երեք փորձով

Ընդունումը երեք դիտարկում է, ոչ թե սխեմայի վերանայում։ Պահանջվող գործողությունը պետք է աշխատի, անկապ նպատակակետը պետք է ձախողվի, և դարպասի սեփական կառավարման ծառայությունները պետք է մնան անհասանելի։

Գործարկեք թույլատրված և մերժված ուղիները նույն հաճախորդից և արձանագրեք երկուսն էլ՝

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Կամրջի համար ավելացրեք կապող մակարդակի ստուգումները. անցնո՞ւմ է թույլատրված հայտնաբերման երթևեկությունը, հասցեավորումը գալի՞ս է նախատեսված լիազորությունից, և ժամանակավոր մասնակիցը հեռացվելուց հետո գնացե՞լ է։ Երբ սովորական ուղղորդված IP-ն արդեն բավարարում է պահանջը, գրասենյակի Ethernet սեգմենտին միանալը պահանջում է առանձին հիմնավորում, և այն պետք է գրվի փոփոխությունից առաջ։