Maršrutēts vai tiltots VPN: izvēlieties pēc tā, kam klientam jāpiekļūst

Vienā dienā ienāk divas biļetes: vienam lietotājam vajag iekšēju tīmekļa lietotni, bet vienam inženierim vajag, lai stenda instruments uzvedas tā, it kā tas atrastos tajā pašā Ethernet segmentā. Abiem atbild ielieciet tos VPN, un tieši tur sākas ķeza. Maršrutēts tunelis un tiltots tunelis paplašina dažādas attiecības, un katram pieprasījumam atbilst tikai viens no tiem. Topoloģijas izvēle ir piekļuves lēmums, nevis kriptogrāfijas iestatījums.

Divi pieprasījumi, kas biļešu lodziņā izskatās vienādi

Darbinieka prasība ir pakalpojums, sasniedzams ar IP starpniecību, no ierīces, kuru jūs nepārvaldāt. Inženiera prasība ir saites līmenī: ierīce sagaida redzēt Ethernet kadrus un apraides atklāšanu, un varbūt DHCP no segmenta, kurā tā uzskata sevi esam.

Tie ir dažādi jautājumi, un atbilde uz abiem ar tiltu bez iemesla paplašina darbinieka piekļuvi visam biroja LAN.

Pirms izvēles uzrakstiet prasību vienā teikumā: kuri galamērķi, kuri protokoli un kuri partneri izskatīsies lokāli. Ja atbilde ir resursdators un ports, maršrutēšana to sedz. Ja atbilde ir kadra līmeņa attiecības ar ierīcēm, kas runā tikai apraidē, tilts var būt vienīgā iespēja. Viss pa vidu ir pelnījis testa segmentu, nevis ražošanas LAN.

Maršruts ir šaurāks par LAN dalību

Maršrutēts klients iegūst adresi tuneļa apakštīklā un maršrutus jūsu izvēlētajiem prefiksiem. Tas var sasniegt lietotnes serveri un neko citu, ja tā saka politika. Vārteja kļūst par izpildes punktu, ar nosacījumu, ka katrs būtiskais ceļš to šķērso.

Nejauciet maršrutu ar atļauju. Klientam pateikt, kā sasniegt apakštīklu, neliedz tam mēģināt citu galamērķi.

Piemērojiet piekļuves kontroli tur, kur tā patiešām var nodrošināt plūsmu, un saglabājiet pašas lietotnes atļaujas. Plašs pāradresācijas noteikums vai aizmirsta otrā saskarne var piešķirt vairāk, nekā liek domāt shēma. Lasiet spēkā esošos noteikumus, nevis iecerētos. Pēc tam pārbaudiet galamērķi, kam vajadzētu neizdoties, jo politika, kuru neviens nav mēģinājis pārkāpt, ir hipotēze.

Tilts maina uzņemšanas jautājumu

Tiltošana apvieno fizisku saskarni un TAP ierīci programmatūras komutatorā, tāpēc attālinātās ierīces pievienojas tai pašai apraides domēnai. Tā ir reāla iespēja un reāls risks: attālinātā ierīce vairs nav maršrutēts viesis, tā ir dalībnieks.

Izlemiet, kuras ierīces drīkst pievienoties, kuri kadru veidi ir jāšķērso un kur nevēlamā mijiedarbība tiek bloķēta. Adresācija un DHCP pilnvaras kļūst par koplietotā tīkla daļu, un divi DHCP serveri vienā segmentā rada tieši to jucekli, ko gaidāt.

Ierīcei parasti labāk piemērots ir īpašs testa segments nekā biroja LAN. Turiet pārvaldības piekļuvi ārpus eksperimenta un definējiet, kā pagaidu dalībnieks tiek noņemts, kad darbs beidzas.

Filtrēšana pastāv abās topoloģijās

Tilts nav būtībā nefiltrējams, un maršruts nav būtībā drošs. Linux tilta filtrēšanai ir savi āķi un sava noteikumu sintakse, un noteikums, kas rakstīts maršrutētai IP pāradresācijai, automātiski neattiecas uz tiltotiem kadriem.

Pārbaudiet, ko platforma patiešām atbalsta, pirms apsolāt robežu:

bridge link show
nft list ruleset

TUN un TAP apraksta saskarnes datplūsmu, nevis šifru. Saskarņu maiņa neko no tā nelabo: partneru autentifikācija, nozagta atslēga un novecojusi kriptogrāfijas politika visas pārdzīvo izmaiņas. Abiem galiem joprojām vajag iestatījumus, kas saskan un joprojām tiek atbalstīti.

Pierādiet robežu ar trim mēģinājumiem

Pieņemšana ir trīs novērojumi, nevis shēmas apskats. Nepieciešamajai darbībai jādarbojas, nesaistītam galamērķim jācieš neveiksme, un pašas vārtejas pārvaldības pakalpojumiem jāpaliek neaizsniedzamiem.

Palaidiet atļauto un aizliegto ceļu no viena un tā paša klienta un pierakstiet abus:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Tiltam pievienojiet saites līmeņa pārbaudes: vai atļautā atklāšanas datplūsma šķērso, vai adresācija nāk no paredzētās institūcijas un vai pagaidu dalībnieks ir pazudis pēc noņemšanas. Kad vienkārša maršrutēta IP jau apmierina prasību, pievienošanās biroja Ethernet segmentam prasa atsevišķu pamatojumu, un tas jāpieraksta pirms izmaiņām.