Tiga cara bekerja di beberapa VPN tanpa kebingungan

Dua terowongan pelanggan, satu laptop, dan satu tab peramban yang masih masuk di tempat yang seharusnya tidak. Bagian sulit bekerja di beberapa jaringan pribadi bukanlah menghubungkan; itu mengetahui konteks mana sebuah jendela milik saat Anda beralih. Ruang kerja menjawab pertanyaan itu: satu identitas, satu set aplikasi, satu kebijakan resolver, dan satu tempat untuk melihat ketika sesuatu salah diselesaikan. Pada hari yang buruk itu adalah selisih antara perbaikan lima menit dan kebocoran data.

Putuskan apakah pekerjaannya bersamaan

Jika jawabannya tidak, berhentilah di sini dan gunakan susunan paling sederhana yang tersedia. Satu koneksi yang disetujui pada satu waktu, terhubung dan terputus melalui klien yang memiliki profil, menghapus seluruh kelas kegagalan sebelum salah satunya dapat terjadi.

Kebersamaan itulah yang menaikkan biaya: prefiks yang tumpang tindih, dua kebijakan resolver, dan dua set keadaan aplikasi harus dipisahkan dengan sengaja, bukan oleh waktu.

Tuliskan persyaratannya dengan jujur, karena ingin menghindari penyambungan ulang tidak sama dengan membutuhkan kedua jaringan sekaligus.

Berurutan adalah susunan termurah

Pekerjaan berurutan tidak membutuhkan infrastruktur tambahan, dan mode kegagalannya adalah sesi basi, bukan konflik perutean. Disiplinnya ada pada serah terima: selesaikan operasi, tutup apa yang menahan koneksi, putuskan, dan konfirmasi koneksi berikutnya sebelum mulai bekerja.

Tab peramban atau terminal yang tetap terbuka tidak membawa konteks jaringannya. Permintaan berikutnya pergi ke tempat mesin sekarang merutekan, yang bisa jadi pelanggan lain.

Beri label profil menurut pelanggan, bukan menurut protokol, dan jaga pemilik kredensial tetap terlihat di nama profil. Profil bernama work2 tidak memberi tahu siapa pun apa pun pada saat pergantian yang tergesa-gesa.

Keuntungan susunan ini adalah dapat diaudit. Pada setiap saat ada satu konteks jaringan, dan log menunjukkan kapan itu berubah.

Satu ruang kerja per pelanggan memakan isolasi

Mesin virtual atau lingkungan pengembangan jarak jauh per pelanggan menempatkan klien, aplikasi, dan nama di satu tempat. Pergantian menjadi perubahan jendela alih-alih perubahan jaringan, dan kedua konteks tidak dapat bocor satu ke yang lain melalui rute tersesat.

Itu tidak gratis. Anda sekarang memelihara dua atau tiga sistem, menambalnya, dan memutuskan di mana berkas dan kredensial tinggal. Mesin virtual juga mencapai internet melalui host, jadi jalur luarnya tetap jalur laptop Anda.

Periksa apakah klien dan kebijakan postur perangkat mengizinkan lingkungan itu sebelum membangun kebiasaan di sekitarnya. Klien yang menolak berjalan di mesin virtual adalah fakta yang harus ditemukan lebih awal.

Gateway bersama adalah infrastruktur

Router terpisah yang membawa lalu lintas terpilih mengubah masalah menjadi desain jaringan. Ini bekerja baik ketika beberapa orang membutuhkan jaringan pelanggan yang sama, dan gagal ketika seseorang memperlakukannya sebagai kotak ajaib yang menjaga setiap pelanggan tetap terpisah.

Satu gateway yang berganti terowongan aktifnya adalah satu konteks bersama dengan antrean, bukan beberapa jaringan independen. Sebutkan siapa yang boleh mengubahnya, sumber mana yang dilayaninya, dan apa yang terjadi ketika dua orang membutuhkan pelanggan berbeda pada saat yang sama. Tanpa jawaban itu gateway menjadi sumber gangguan yang tidak dimiliki siapa pun. Itu juga menjadi tempat seseorang diam-diam mematikan pemeriksaan demi memenuhi tenggat.

Tuliskan serah terima ke dalam catatan

Catatan tidak perlu canggih; catatan harus cukup spesifik sehingga orang lain dapat mengikutinya. Di Linux, namespace adalah versi teknis dari gagasan yang sama, dengan antarmuka dan tabel peruteannya sendiri.

Perintah ini membuat namespace, menjalankan perintah di dalamnya, dan menunjukkan koneksi mana yang sedang dipegang klien desktop:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Aplikasi tetap harus diluncurkan di dalam namespace, dan konfigurasi resolver di dalamnya adalah berkas terpisah. Mengisolasi antarmuka tidak mengisolasi papan klip, agen SSH, atau berbagi yang terpasang, dan itulah kebocoran yang orang lupakan.

Pilih susunan terkecil yang mempertahankan pemisahan yang benar-benar Anda butuhkan, dan jaga transisinya tetap terlihat: judul jendela, prompt terminal, nama profil, dan pemilik kredensial harus semuanya sepakat sebelum permintaan pribadi dikirim.