Geroutete oder gebrückte VPN: wielt no deem, wat de Client muss erreechen

Zwéi Ticketen kommen deen selwechten Dag: ee Benotzer brauch eng intern Webapp, an een Ingenieur brauch, datt en Benchinstrument sech verhält, wéi wann et um selwechten Ethernet-Segment sëtzt. Béid ginn mat setzt se op d’VPN beäntwert, an do fänkt den Ärger un. En gerouteten Tunnel an en gebrückten Tunnel spanne verschidde Bezéiungen, a nëmmen eng dovun passt op all Ufro. D’Topologie ze wielen ass eng Zougangsentscheedung, keng Kryptografie-Astellungen.

Zwou Ufroen, déi um Ticketschalter d’selwecht ausgesinn

D’Fuerderung vum Mataarbechter ass en Déngscht, iwwer IP erreechbar, vun engem Apparat, deen Dir net kontrolléiert. D’Fuerderung vum Ingenieur ass op Link-Niveau: d’Instrument erwaart Ethernet-Framen an Entdeckung duerch Broadcast ze gesinn, an eventuell DHCP aus dem Segment, an deem et sech mengt ze sinn.

Dat sinn ënnerschiddlech Froen, an op béid mat enger Bréck ze äntweren erweidert de Zougang vum Mataarbechter op de ganzen Büro-LAN ouni Grond.

Schreift d’Fuerderung als Saz op, ier Dir wielt: wéi eng Ziler, wéi eng Protokoller a wéi eng Peeren lokal mussen erschéngen. Ass d’Äntwert en Host an e Port, da deckt d’Routing dat of. Ass d’Äntwert eng Bezéiung um Frame-Niveau mat Apparater, déi nëmme Broadcast schwätzen, kann d’Bréck déi eenzeg Optioun sinn. Alles dertëschent verdéngt en Testsegment amplaz vum Produktiouns-LAN.

Eng Route ass méi schmuel wéi LAN-Memberschaft

E geroutete Client kritt eng Adress op engem Tunnel-Subnet an Route fir d’Präfixen, déi Dir wielt. Hie kann de Server vun der Applikatioun erreechen an soss näischt, wann d’Politik dat seet. De Gateway gëtt de Punkt vun der Duerchsetzung, soulaang all relevante Wee en duerchkräizt.

Verwiesselt eng Route net mat enger Erlaabnis. Dem Client ze soen, wéi en en Subnet erreecht, hält en net dovun of, en anert Zil ze probéieren.

Setzt Zougangskontroll do an, wou se de Floss wierklech duerchsetze kann, a loosst d’Rechter vun der Applikatioun selwer bestoen. Eng breet Weiderleeungsregel oder eng vergiessen zweet Schnëttstell kann méi ginn, wéi den Diagramm suggeréiert. Liest déi effektiv Regelen, net déi geplangten. Test dann en Zil, dat misst feelen, well eng Politik, déi keen probéiert huet ze verletzen, ass eng Hypothees.

Eng Bréck ännert d’Fro vun der Zoulossung

Bridging kombinéiert eng physesch Schnëttstell an en TAP-Apparat zu engem Software-Switch, sou datt wäit ewech Apparater dem selwechten Broadcast-Domaine bäitrieden. Dat ass eng richteg Fäegkeet an e richtegt Risiko: de wäiten Apparat ass net méi en geroutete Gaascht, hien ass en Deelnehmer.

Entscheet, wéi eng Apparater kënnen bäitrieden, wéi eng Frame-Typen duerchgoen a wou ongewollt Interaktioun blockéiert gëtt. Adresséierung an DHCP-Autoritéit ginn Deel vum gedeelte Netzwierk, an zwee DHCP-Serveren op engem Segment produzéieren genau de Chaos, deen Dir erwaart.

Fir d’Instrument passt en eegene Testsegment meeschtens besser wéi de Büro-LAN. Hält den Administratiounszougang baussenzeg vum Experiment, a definéiert, wéi den temporären Deelnehmer nom Enn vun der Aarbecht ewechgeholl gëtt.

Filterung gëtt et an allen zwou Topologien

Eng Bréck ass net vun Natur aus net filterbar, an eng Route ass net vun Natur aus sécher. D’Bréckfilterung vu Linux huet hir eege Hooks an hir eege Regel-Syntax, an eng Regel, déi fir geroutet IP-Weiderleeung geschriwwe gouf, gëllt net automatesch fir gebrückte Framen.

Préift, wat d’Plattform tatsächlech ënnerstëtzt, ier Dir eng Grenz verspriechen:

bridge link show
nft list ruleset

TUN an TAP beschreiwen den Trafic vun der Schnëttstell, net d’Chiffre. D’Schnëttstelle wiesselen hëlleft dobäi näischt: Peer-Authentifikatioun, eng geklautte Schlëssel an eng al Kryptografiepolitik iwwerliewen all d’Ännerung. Béid Enner brauchen nach Astellungen, déi zesummenpassen an nach ënnerstëtzt ginn.

Beweist d’Grenz mat dräi Versich

Acceptatioun sinn dräi Observatiounen, keng Diagrammrevisioun. Déi gefuerdert Operatioun muss funktionéieren, en onverbonne Zil muss feelen, an d’Administratiounsservicer vum Gateway selwer mussen ausser Reichwäit bleiwen.

Fuert dee erlaabten an dee verwäerten Wee vum selwechte Client aus, a notéiert béid:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Fir eng Bréck füügt d’Kontrollen um Link-Niveau derbäi: ob den erlaabten Entdeckungstrafic duerchkënnt, ob d’Adresséierung vun der virgesinner Autoritéit kënnt an ob den temporären Deelnehmer nom Ewechhuelen fort ass. Wann einfach gerouteten IP d’Fuerderung schonn erfëllt, brauch den Antrëtt an de Büro-Ethernet-Segment eng separat Begrënnung, an déi soll virun der Ännerung opgeschriwwe ginn.