Maršrutizuotas ar tiltu sujungtas VPN: rinkitės pagal tai, ką klientas turi pasiekti

Tą pačią dieną ateina du bilietai: vienam naudotojui reikia vidinės žiniatinklio programos, o vienam inžinieriui reikia, kad stendo prietaisas elgtųsi taip, tarsi būtų tame pačiame Ethernet segmente. Abiem atsakoma įdėkite juos į VPN, ir būtent čia prasideda bėda. Maršrutizuotas tunelis ir tiltu sujungtas tunelis išplečia skirtingus ryšius, ir kiekvienam prašymui tinka tik vienas iš jų. Topologijos pasirinkimas yra prieigos sprendimas, o ne kriptografijos nustatymas.

Du prašymai, kurie bilietų skyriuje atrodo vienodai

Darbuotojo reikalavimas yra paslauga, pasiekiama per IP, iš įrenginio, kurio nevaldote. Inžinieriaus reikalavimas yra susiejimo lygmenyje: prietaisas tikisi matyti Ethernet kadrus ir transliavimo aptikimą, ir galbūt DHCP iš segmento, kuriame mano esąs.

Tai skirtingi klausimai, o atsakymas į abu su tiltu be priežasties išplečia darbuotojo prieigą iki viso biuro LAN.

Prieš rinkdamiesi užrašykite reikalavimą vienu sakiniu: kokie tikslai, kokie protokolai ir kurie partneriai turi atrodyti vietiniai. Jei atsakymas yra mazgas ir prievadas, maršrutizavimas tai apima. Jei atsakymas yra kadro lygmens ryšys su įrenginiais, kurie kalba tik transliavimu, tiltas gali būti vienintelė galimybė. Viskas tarp jų nusipelno bandomojo segmento, o ne gamybinio LAN.

Maršrutas siauresnis už narystę LAN

Maršrutizuotas klientas gauna adresą tunelio potinklyje ir maršrutus jūsų pasirinktiems prefiksams. Jis gali pasiekti programos serverį ir nieko daugiau, jei taip sako politika. Tinklų sietuvas tampa vykdymo tašku, su sąlyga, kad kiekvienas svarbus kelias jį kerta.

Nepainiokite maršruto su leidimu. Pasakymas klientui, kaip pasiekti potinklį, nesustabdo jo bandyti kito tikslo.

Taikykite prieigos kontrolę ten, kur ji iš tikrųjų gali užtikrinti srautą, ir palikite pačios programos leidimus vietoje. Plati persiuntimo taisyklė ar pamiršta antroji sąsaja gali suteikti daugiau, nei rodo schema. Skaitykite galiojančias taisykles, o ne numatytąsias. Tada išbandykite tikslą, kuris turėtų nepavykti, nes politika, kurios niekas nebandė pažeisti, yra hipotezė.

Tiltas pakeičia priėmimo klausimą

Tilto sujungimas sujungia fizinę sąsają ir TAP įrenginį į programinį komutatorių, todėl nuotoliniai įrenginiai prisijungia prie to paties transliavimo domeno. Tai reali galimybė ir reali rizika: nuotolinis įrenginys nebėra maršrutizuotas svečias, jis yra dalyvis.

Nuspręskite, kurie įrenginiai gali prisijungti, kokie kadrų tipai turi praeiti ir kur blokuojama nepageidaujama sąveika. Adresavimas ir DHCP teisė tampa bendro tinklo dalimi, o du DHCP serveriai viename segmente sukuria būtent tą netvarką, kurios tikitės.

Prietaisui paprastai labiau tinka skirtasis bandomasis segmentas nei biuro LAN. Laikykite valdymo prieigą už eksperimento ribų ir apibrėžkite, kaip laikinasis dalyvis pašalinamas darbui pasibaigus.

Filtravimas egzistuoja abiejose topologijose

Tiltas nėra iš prigimties nefiltruojamas, o maršrutas nėra iš prigimties saugus. Linux tilto filtravimas turi savo kabliukus ir savo taisyklių sintaksę, o taisyklė, parašyta maršrutizuotam IP persiuntimui, automatiškai netaikoma tiltu sujungtiems kadrams.

Patikrinkite, ką platforma iš tikrųjų palaiko, prieš pažadėdami ribą:

bridge link show
nft list ruleset

TUN ir TAP apibūdina sąsajos srautą, o ne šifrą. Sąsajų keitimas nieko iš to neištaiso: partnerių autentifikavimas, pavogtas raktas ir pasenusi kriptografijos politika visi išgyvena pakeitimą. Abiem galams vis dar reikia nustatymų, kurie sutampa ir vis dar palaikomi.

Įrodykite ribą trimis bandymais

Priėmimas yra trys stebėjimai, o ne schemos apžvalga. Reikalinga operacija turi veikti, nesusijęs tikslas turi nepavykti, o paties tinklų sietuvo valdymo paslaugos turi likti nepasiekiamos.

Paleiskite leidžiamą ir uždraustą kelią iš to paties kliento ir užfiksuokite abu:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Jei tai tiltas, pridėkite susiejimo lygmens patikras: ar leidžiamas aptikimo srautas praeina, ar adresavimas ateina iš numatytosios institucijos ir ar laikinasis dalyvis išnyko po pašalinimo. Kai paprastas maršrutizuotas IP jau atitinka reikalavimą, prisijungimas prie biuro Ethernet segmento reikalauja atskiro pagrindimo, ir jis turi būti užrašytas prieš pakeitimą.