ルーテッドVPNかブリッジVPNか：クライアントが何に到達する必要があるかで選ぶ

同じ日に二つのチケットが届きます。一人の利用者は社内Webアプリを必要とし、一人のエンジニアはベンチ計測器が同じEthernetセグメント上にあるかのように振る舞うことを必要としています。どちらにもVPNに入れておけと答えるのが、トラブルの始まりです。ルーテッドトンネルとブリッジトンネルは異なる関係を広げ、それぞれの要求に合うのは片方だけです。トポロジーの選択はアクセスの判断であり、暗号設定ではありません。

窓口では同じに見える二つの要求

従業員の要件は、あなたが管理しない端末からIP経由で到達できるサービスです。エンジニアの要件はリンク層にあります：計測器はEthernetフレームとブロードキャストによる検出を見ることを期待しています、そして自分がそこにいると信じるセグメントからのDHCPもしれません。

これらは別の問いであり、両方にブリッジで答えると、理由もなく従業員のアクセスをオフィスLAN全体に広げてしまいます。

選ぶ前に要件を一文で書いてください。どの宛先に、どのプロトコルで、どの相手がローカルに見える必要があるのか。答えがホストとポートなら、ルーティングで足ります。答えがブロードキャストしか話さない機器とのフレーム層の関係なら、ブリッジが唯一の選択肢かもしれません。その中間はすべて、本番LANではなくテストセグメントに値します。

ルートはLANのメンバーシップより狭い

ルーテッドクライアントはトンネルサブネット上のアドレスと、選んだプレフィックスへのルートを受け取ります。ポリシーがそう言うなら、アプリケーションサーバーには到達でき、それ以外には届きません。ゲートウェイが適用点になりますが、それは関連するすべての経路がそこを通る場合に限ります。

ルートと許可を混同しないでください。サブネットへの到達方法を伝えても、別の宛先を試すことを止められません。

アクセス制御は、実際にフローを強制できる場所に適用し、アプリケーション自身の権限はそのまま残してください。広い転送ルールや忘れられた二つ目のインターフェースは、図が示す以上に許してしまうことがあります。意図したルールではなく、実際に有効なルールを読んでください。そして失敗するはずの宛先を試してください。誰も破ろうとしなかったポリシーは仮説にすぎません。

ブリッジは受け入れの問いを変える

ブリッジングは物理インターフェースとTAPデバイスをソフトウェアスイッチにまとめ、遠隔の機器が同じブロードキャストドメインに加わります。これは実際の能力であり実際のリスクです。遠隔の機器はもはやルーテッドの客ではなく、参加者です。

どの機器が参加できるか、どのフレーム種別が通過すべきか、望まない相互作用をどこで遮断するかを決めてください。アドレッシングとDHCPの権限は共有ネットワークの一部になり、一つのセグメントに二つのDHCPサーバーがあれば、予想どおりの混乱が生じます。

計測器には、オフィスLANより専用のテストセグメントのほうが通常は適しています。管理アクセスは実験の外に保ち、作業が終わったときに一時的な参加者をどう外すかを決めておいてください。

フィルタリングはどちらのトポロジーにもある

ブリッジが本質的にフィルタリング不能なわけでも、ルートが本質的に安全なわけでもありません。Linuxのブリッジフィルタリングには独自のフックと独自のルール構文があり、ルーテッドIP転送用に書かれたルールはブリッジされたフレームに自動では適用されません。

境界を約束する前に、プラットフォームが実際に何をサポートするかを確認してください：

bridge link show
nft list ruleset

TUNとTAPはインターフェースのトラフィックを表すもので、暗号を表すものではありません。インターフェースを切り替えてもそれは何も直りません。ピア認証、盗まれた鍵、古い暗号ポリシーはすべて変更を生き延びます。両端には依然として、一致し、なおサポートされている設定が必要です。

三つの試みで境界を証明する

受け入れは三つの観察であり、図面のレビューではありません。必要な操作は成功し、無関係な宛先は失敗し、ゲートウェイ自身の管理サービスは手の届かないところにとどまる必要があります。

許可された経路と拒否された経路を同じクライアントから実行し、両方を記録してください：

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

ブリッジの場合はリンク層の確認を加えます。許可された検出トラフィックが通過するか、アドレッシングが意図した権限から来るか、一時的な参加者が削除後に消えているか。素のルーテッドIPですでに要件を満たしているなら、オフィスのEthernetセグメントに参加するには別の正当化が必要で、それは変更前に書かれるべきです。