Маршрутталған немесе көпірлі VPN: клиент нені алуы керектігіне қарай таңдаңыз

Маршрутталған қатынас таңдалған қызметтерді жеткізеді; көпірлі қатынас сегментке қосылады. Клиент нені алуы керектігіне қарай шешіңіз, содан кейін салған шекараны тексеріңіз.

Бір күнде екі билет келеді: бір пайдаланушыға ішкі веб-қолданба керек, ал бір инженерге стендтік құрылғы өзін сол Ethernet сегментінде тұрғандай ұстауы керек. Екеуіне де оларды VPN-ге қойыңыз деп жауап беріледі, және қиындық осы жерден басталады. Маршрутталған туннель мен көпірлі туннель әртүрлі қатынастарды кеңейтеді, және әрбір сұранысқа олардың тек біреуі сәйкес келеді. Топологияны таңдау — бұл қатынас туралы шешім, криптография баптауы емес.

Билет үстелінде бірдей көрінетін екі сұраныс

Қызметкердің талабы — бұл қызмет, IP арқылы қолжетімді, сіз басқармайтын құрылғыдан. Инженердің талабы байланыс деңгейінде: құрылғы Ethernet кадрларын және хабар тарату арқылы табуды көруді күтеді, және мүмкін өзінде деп есептейтін сегменттен DHCP.

Бұлар әртүрлі сұрақтар, және екеуіне де көпірмен жауап беру қызметкердің қатынасын себепсіз бүкіл кеңсе LAN-ына кеңейтеді.

Таңдамас бұрын талапты бір сөйлеммен жазыңыз: қандай мақсаттар, қандай протоколдар және қандай серіктестер жергілікті болып көрінуі керек. Егер жауап хост пен порт болса, маршруттау оны қамтиды. Егер жауап тек хабар таратумен сөйлейтін құрылғылармен кадр деңгейіндегі қатынас болса, көпір жалғыз нұсқа болуы мүмкін. Ортадағының бәрі өндірістік LAN орнына сынақ сегментіне лайық.

Маршрут LAN мүшелігінен тар

Маршрутталған клиент туннель қосалқы желісінде мекенжай және сіз таңдаған префикстерге маршруттар алады. Егер саясат солай десе, ол қолданба серверіне жетеді, басқа еш жерге жетпейді. Шлюз қолдану нүктесіне айналады, әрбір тиісті жол одан өтетін болса.

Маршрутты рұқсатпен шатастырмаңыз. Клиентке қосалқы желіге қалай жету керектігін айту оны басқа мақсатты сынаудан тоқтатпайды.

Қатынас бақылауын ағынды шынымен орындай алатын жерде қолданыңыз және қолданбаның өз рұқсаттарын орнында қалдырыңыз. Кең қайта бағыттау ережесі немесе ұмытылған екінші интерфейс диаграмма көрсеткеннен көбірек бере алады. Қолданыстағы ережелерді оқыңыз, ниет етілгендерді емес. Содан кейін сәтсіз болуы керек мақсатты сынаңыз, өйткені ешкім бұзуды әрекет етпеген саясат тек болжам.

Көпір қабылдау сұрағын өзгертеді

Көпірлеу физикалық интерфейс пен TAP құрылғысын бағдарламалық коммутаторға біріктіреді, сондықтан қашықтағы құрылғылар бір хабар тарату доменіне қосылады. Бұл нақты мүмкіндік және нақты тәуекел: қашықтағы құрылғы енді маршрутталған қонақ емес, ол қатысушы.

Қандай құрылғылар қосыла алатынын, қандай кадр түрлері өтуі керектігін және қажетсіз әрекеттесу қайда бұғатталатынын шешіңіз. Мекенжайлау мен DHCP өкілеттігі ортақ желінің бөлігіне айналады, ал бір сегменттегі екі DHCP сервері дәл күткен бейберекеттік тудырады.

Құрылғы үшін арнайы сынақ сегменті әдетте кеңсе LAN-ынан жақсырақ сәйкес келеді. Басқару қатынасын эксперименттен тыс ұстаңыз және жұмыс біткенде уақытша қатысушының қалай жойылатынын анықтаңыз.

Сүзгілеу екі топологияда да бар

Көпір табиғатынан сүзгіленбейтін емес, ал маршрут табиғатынан қауіпсіз емес. Linux көпірін сүзгілеудің өз ілмектері мен өз ереже синтаксисі бар, және маршрутталған IP қайта бағыттауға арналған ереже көпірленген кадрларға автоматты түрде қолданылмайды.

Шекара уәде етпес бұрын платформаның шынымен нені қолдайтынын тексеріңіз:

bridge link show
nft list ruleset

TUN мен TAP интерфейс трафигін сипаттайды, шифрды емес. Интерфейстерді ауыстыру оның ешқайсысын түзетпейді: серіктестерді аутентификациялау, ұрланған кілт және ескірген криптографиялық саясат — бәрі өзгерістерден аман өтеді. Екі жаққа да сәйкес келетін және әлі қолдау көрсетілетін параметрлер қажет.

Шекараны үш әрекетпен дәлелдеңіз

Қабылдау — үш бақылау, диаграмманы қарау емес. Қажетті операция жұмыс істеуі керек, байланыссыз мақсат сәтсіз болуы керек, ал шлюздің өз басқару қызметтері қолжетімсіз болып қалуы керек.

Рұқсат етілген және бас тартылған жолды бір клиенттен іске қосыңыз және екеуін де жазыңыз:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Көпір үшін байланыс деңгейіндегі тексерулерді қосыңыз: рұқсат етілген табу трафигі өте ме, мекенжайлау көзделген өкілеттіктен келе ме және уақытша қатысушы жойылғаннан кейін кетті ме. Қарапайым маршрутталған IP талапты қанағаттандырса, кеңсе Ethernet сегментіне қосылу жеке негіздемені қажет етеді және ол өзгеріске дейін жазылуы керек.

Қатысты мақалалар