VPN dirutekan atau dijembatani: pilih berdasarkan apa yang harus dicapai klien

Dua tiket datang pada hari yang sama: satu pengguna membutuhkan aplikasi web internal, dan satu insinyur membutuhkan instrumen bangku yang berperilaku seolah berada di segmen Ethernet yang sama. Keduanya dijawab dengan taruh saja di VPN, dan di situlah masalah dimulai. Terowongan dirutekan dan terowongan dijembatani memperluas hubungan yang berbeda, dan hanya satu yang cocok untuk setiap permintaan. Memilih topologi adalah keputusan akses, bukan pengaturan kriptografi.

Dua permintaan yang tampak sama di meja tiket

Kebutuhan karyawan adalah layanan, dapat dijangkau melalui IP, dari perangkat yang tidak Anda kendalikan. Kebutuhan insinyur berada di tingkat tautan: instrumen mengharapkan melihat bingkai Ethernet dan penemuan siaran, dan mungkin DHCP dari segmen tempat ia mengira berada.

Itu pertanyaan yang berbeda, dan menjawab keduanya dengan jembatan memperluas akses karyawan ke seluruh LAN kantor tanpa alasan.

Tuliskan kebutuhan sebagai kalimat sebelum memilih: tujuan mana, protokol mana, dan rekan mana yang harus tampak lokal. Jika jawabannya host dan port, perutean mencakupnya. Jika jawabannya hubungan tingkat bingkai dengan perangkat yang hanya berbicara siaran, jembatan mungkin satu-satunya pilihan. Apa pun di antaranya layak mendapat segmen uji alih-alih LAN produksi.

Rute lebih sempit daripada keanggotaan LAN

Klien dirutekan mendapat alamat di subnet terowongan dan rute untuk prefiks yang Anda pilih. Ia dapat mencapai server aplikasi dan tidak yang lain, jika itu yang dikatakan kebijakan. Gateway menjadi titik penegakan, asalkan setiap jalur relevan melewatinya.

Jangan mencampuradukkan rute dengan izin. Memberi tahu klien cara mencapai subnet tidak menghentikannya mencoba tujuan lain.

Terapkan kontrol akses di tempat yang benar-benar dapat menegakkan aliran, dan pertahankan izin aplikasi itu sendiri. Aturan penerusan yang lebar atau antarmuka kedua yang terlupakan dapat memberikan lebih dari yang disiratkan diagram. Bacalah aturan yang berlaku, bukan yang dimaksudkan. Lalu uji tujuan yang seharusnya gagal, karena kebijakan yang belum pernah dicoba dilanggar hanyalah hipotesis.

Jembatan mengubah pertanyaan penerimaan

Penjembatanan menggabungkan antarmuka fisik dan perangkat TAP menjadi sakelar perangkat lunak, sehingga perangkat jarak jauh bergabung ke domain siaran yang sama. Itu kemampuan nyata dan risiko nyata: perangkat jarak jauh bukan lagi tamu dirutekan, ia adalah peserta.

Putuskan perangkat mana yang boleh bergabung, jenis bingkai mana yang harus melintas, dan di mana interaksi yang tidak diinginkan diblokir. Pengalamatan dan otoritas DHCP menjadi bagian dari jaringan bersama, dan dua server DHCP pada satu segmen menghasilkan kekacauan yang persis Anda harapkan.

Untuk instrumen, segmen uji khusus biasanya lebih cocok daripada LAN kantor. Jauhkan akses manajemen dari eksperimen, dan tetapkan bagaimana peserta sementara dilepas saat pekerjaan selesai.

Penyaringan ada di kedua topologi

Jembatan tidak serta-merta tak dapat disaring, dan rute tidak serta-merta aman. Penyaringan jembatan Linux memiliki kaitnya sendiri dan sintaks aturannya sendiri, dan aturan yang ditulis untuk penerusan IP dirutekan tidak otomatis berlaku untuk bingkai dijembatani.

Periksa apa yang benar-benar didukung platform sebelum menjanjikan batas:

bridge link show
nft list ruleset

TUN dan TAP menjelaskan lalu lintas antarmuka, bukan penyandian. Mengganti antarmuka tidak memperbaiki satu pun dari itu: autentikasi rekan, kunci yang dicuri, dan kebijakan kriptografi yang usang semuanya bertahan dari perubahan. Kedua ujung masih memerlukan pengaturan yang cocok dan masih didukung.

Buktikan batas dengan tiga percobaan

Penerimaan adalah tiga pengamatan, bukan tinjauan diagram. Operasi yang diperlukan harus berhasil, tujuan yang tidak terkait harus gagal, dan layanan manajemen gateway itu sendiri harus tetap di luar jangkauan.

Jalankan jalur yang diizinkan dan yang ditolak dari klien yang sama, dan catat keduanya:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Untuk jembatan, tambahkan pemeriksaan tingkat tautan: apakah lalu lintas penemuan yang diizinkan melintas, apakah pengalamatan berasal dari otoritas yang dimaksud, dan apakah peserta sementara hilang setelah dilepas. Ketika IP dirutekan biasa sudah memenuhi kebutuhan, bergabung ke segmen Ethernet kantor memerlukan pembenaran terpisah, dan itu harus ditulis sebelum perubahan.