複数のVPNを混乱なく使い分ける三つの方法

顧客のトンネルが二本、ノートPCが一台、そして本来いるべきでない場所にまだログインしているブラウザタブ。複数のプライベートネットワークをまたいで作業するうえで難しいのは接続そのものではなく、切り替えたときにそのウィンドウがどのコンテキストに属するかを知ることです。ワークスペースはその問いに答えます。一つのID、一つのアプリケーション群、一つのリゾルバポリシー、そして名前解決がおかしいときに見るべき一つの場所です。悪い日には、これが五分で直るか情報漏えいになるかの差になります。

作業が同時進行かどうかを決める

答えが「いいえ」なら、ここで止めて、利用できる最も単純な構成にしてください。一度に承認済みの接続を一本だけにし、プロファイルを所有するクライアントで接続・切断すれば、失敗の一つのクラスが発生する前に丸ごと消えます。

コストを上げるのは同時進行のほうで、重複するプレフィックス、二つのリゾルバポリシー、二組のアプリケーション状態を時間ではなく意図的に分けなければなりません。

要件を正直に書き留めてください、再接続を避けたいことと両方のネットワークが同時に必要なことは同じではありません。

順次切り替えが最も安い構成

順次の作業には追加のインフラが要らず、その失敗モードはルーティング競合ではなく古いセッションです。規律は引き継ぎにあります。作業を終え、接続を保持しているものを閉じ、切断し、作業を始める前に次の接続を確認します。

開いたままのブラウザタブやターミナルは、自分のネットワークコンテキストを持ち歩きません。次のリクエストは、マシンが今ルーティングする先へ送られ、それが別の顧客かもしれません。

プロファイルはプロトコルではなく顧客で名付け、資格情報の所有者をプロファイル名に見える形で残してください。work2 という名前のプロファイルは、慌ただしい切り替えの瞬間に何も伝えません。

この構成の利点は監査できることです。どの瞬間にもネットワークコンテキストは一つで、ログはそれがいつ変わったかを示します。

顧客ごとのワークスペースは分離のコストを払う

顧客ごとの仮想マシンやリモート開発環境は、クライアント、アプリケーション、名前を一か所にまとめます。切り替えはネットワークの変更ではなくウィンドウの変更になり、二つのコンテキストが迷い込んだルートで互いに漏れることはありません。

無料ではありません。二つか三つのシステムを保守し、パッチを当て、ファイルと資格情報をどこに置くかを決めることになります。仮想マシンもホスト経由でインターネットに出るので、その外側の経路は依然としてノートPCの経路です。

その習慣を築く前に、クライアントとデバイスポスチャポリシーがその環境を許可しているか確認してください。仮想マシンでの実行を拒否するクライアントは、早めに知っておくべき事実です。

共有ゲートウェイはインフラである

選択したトラフィックを運ぶ別のルーターは、問題をネットワーク設計に変えます。複数の人が同じ顧客ネットワークを必要とするときはうまく機能し、誰かがそれを、すべての顧客を分けたままにする魔法の箱として扱うと失敗します。

アクティブなトンネルを切り替える一台のゲートウェイは、キューを伴う一つの共有コンテキストであり、複数の独立したネットワークではありません。誰が変更できるか、どのソースにサービスするか、二人が同時に別の顧客を必要としたらどうなるかを決めてください。その答えがなければ、ゲートウェイは誰も所有しない障害の源になります。また、誰かが締め切りに間に合わせるために静かにチェックを無効にする場所にもなります。

引き継ぎを記録に書く

記録は洗練されている必要はありません。他の人が追えるだけの具体性が必要です。Linux では、名前空間が同じ考えの技術的な版であり、独自のインターフェースとルーティングテーブルを持っています。

次のコマンドは名前空間を作成し、その中でコマンドを実行し、デスクトップクライアントが現在保持している接続を表示します:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

アプリケーションはいまも名前空間の中で起動する必要があり、その中のリゾルバ設定は別のファイルです。インターフェースを分離しても、クリップボード、SSH エージェント、マウントされた共有は分離されず、そこが人が忘れる漏えい口です。

本当に必要な分離を保つ最小の構成を選び、ウィンドウタイトル、ターミナルのプロンプト、プロファイル名、資格情報の所有者をすべて一致させてから、私的なリクエストを送ってください。