Trys būdai dirbti per kelis VPN be painiavos

Du kliento tuneliai, vienas nešiojamas kompiuteris ir naršyklės skirtukas, kuris vis dar prisijungęs ten, kur neturėtų būti. Sunkioji darbo per kelis privačius tinklus dalis yra ne prisijungimas; tai žinojimas, kuriam kontekstui priklauso langas, kai perjungiate. Darbo erdvė atsako į šį klausimą: viena tapatybė, vienas programų rinkinys, viena sprendėjo politika ir viena vieta, kur pažiūrėti, kai kažkas išsprendžiama neteisingai. Blogą dieną tai skirtumas tarp penkių minučių pataisymo ir duomenų nutekėjimo.

Nuspręskite, ar darbas vienalaikis

Jei atsakymas ne, sustokite čia ir naudokite paprasčiausią galimą išdėstymą. Vienas patvirtintas ryšys vienu metu, jungiamas ir atjungiamas per klientą, kuriam priklauso profilis, pašalina visą gedimų klasę, kol nė vienas iš jų negali įvykti.

Būtent vienalaikiškumas didina kainą: persidengiantys priešdėliai, dvi sprendėjo politikos ir du programų būsenos rinkiniai turi būti atskirti sąmoningai, o ne laiku.

Užrašykite reikalavimą sąžiningai, nes noras išvengti prisijungimo iš naujo nėra tas pats, kas abiejų tinklų poreikis vienu metu.

Nuoseklumas yra pigiausias išdėstymas

Nuosekliam darbui nereikia papildomos infrastruktūros, o jo gedimo režimas yra pasenusi sesija, o ne maršrutizavimo konfliktas. Drausmė yra perdavime: užbaikite operaciją, uždarykite tai, kas laiko ryšį, atsijunkite ir patvirtinkite kitą ryšį prieš pradėdami darbą.

Atidarytas naršyklės skirtukas ar terminalas nešiojasi savo tinklo kontekstą. Kita jo užklausa eina ten, kur mašina dabar maršrutizuoja, o tai gali būti kitas klientas.

Žymėkite profilius pagal klientą, o ne pagal protokolą, ir laikykite kredencialų savininką matomą profilio pavadinime. Profilis pavadinimu work2 niekam nieko nesako paskubomis perjungiant.

Šio išdėstymo privalumas yra tai, kad jis audituojamas. Bet kuriuo momentu yra vienas tinklo kontekstas, o žurnalas rodo, kada jis pasikeitė.

Darbo erdvė kiekvienam klientui kainuoja izoliaciją

Virtualioji mašina arba nuotolinė kūrimo aplinka kiekvienam klientui sudeda klientą, programas ir pavadinimus į vieną vietą. Perjungimas tampa lango pakeitimu, o ne tinklo pakeitimu, ir du kontekstai negali nutekėti vienas į kitą nuklydusiu maršrutu.

Tai ne nemokama. Dabar prižiūrite dvi ar tris sistemas, jas lopote ir sprendžiate, kur gyvena failai ir kredencialai. Virtualioji mašina taip pat pasiekia internetą per pagrindinį kompiuterį, todėl jos išorinis kelias vis dar yra jūsų nešiojamojo kompiuterio kelias.

Patikrinkite, ar klientas ir bet kokia įrenginio būsenos politika leidžia tą aplinką, prieš statydami įprotį aplink ją. Klientas, kuris atsisako veikti virtualiojoje mašinoje, yra faktas, kurį reikia atrasti anksti.

Bendri vartai yra infrastruktūra

Atskiras maršrutizatorius, nešantis pasirinktą srautą, paverčia problemą tinklo dizainu. Jis gerai veikia, kai keliems žmonėms reikia to paties kliento tinklo, ir žlunga, kai kas nors jį traktuoja kaip stebuklingą dėžę, kuri kiekvieną klientą laiko atskirai.

Vieni vartai, perjungiantys savo aktyvų tunelį, yra vienas bendras kontekstas su eile, o ne keli nepriklausomi tinklai. Įvardinkite, kas gali juos keisti, kuriems šaltiniams jie tarnauja ir kas atsitinka, kai dviem žmonėms vienu metu reikia skirtingų klientų. Be to atsakymo vartai tampa sutrikimų šaltiniu, kurio niekas neturi. Jie taip pat tampa vieta, kur kas nors tyliai išjungia patikrą, kad spėtų iki termino.

Užrašykite perdavimą įraše

Įrašas neturi būti sudėtingas; jis turi būti pakankamai konkretus, kad kitas galėtų juo sekti. Linux sistemoje vardų erdvė yra techninė tos pačios idėjos versija, su savo sąsajomis ir maršrutizavimo lentele.

Šios komandos sukuria vardų erdvę, paleidžia joje komandą ir parodo, kokius ryšius darbalaukio klientas šiuo metu laiko:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Programos vis tiek turi būti paleidžiamos vardų erdvės viduje, o joje esanti sprendėjo konfigūracija yra atskiras failas. Sąsajų izoliavimas neizoliuoja iškarpinės, SSH agento ar prijungto bendro katalogo, ir būtent šiuos nutekėjimus žmonės pamiršta.

Pasirinkite mažiausią išdėstymą, kuris išsaugo jums tikrai reikalingą atskyrimą, ir laikykite perėjimą matomą: lango pavadinimas, terminalo užuomina, profilio pavadinimas ir kredencialų savininkas turi visi sutapti prieš siunčiant bet kokią privačią užklausą.