Рутиран или мостен VPN: изберете според тоа до што треба да стигне клиентот

Истиот ден пристигнуваат две билети: еден корисник има потреба од внатрешна веб-апликација, а еден инженер има потреба инструментот на масата да се однесува како да стои на истиот Ethernet сегмент. На двете се одговара ставете ги на VPN, и токму таму почнува проблемот. Рутираниот тунел и мостениот тунел протегаат различни односи, и само еден од нив одговара на секое барање. Изборот на топологија е одлука за пристап, а не криптографска поставка.

Две барања што на шалтерот изгледаат исто

Барањето на вработениот е услуга, достапна преку IP, од уред што не го контролирате. Барањето на инженерот е на ниво на врска: инструментот очекува да види Ethernet рамки и откривање преку емитување, а можеби и DHCP од сегментот во кој мисли дека е.

Тоа се различни прашања, а одговорот на двете со мост без причина го проширува пристапот на вработениот до целиот канцелариски LAN.

Запишете го барањето како реченица пред да изберете: кои одредишта, кои протоколи и кои партнери треба да изгледаат локални. Ако одговорот е домаќин и порта, рутирањето го покрива. Ако одговорот е однос на ниво на рамка со уреди што зборуваат само преку емитување, мостот може да биде единствената опција. Сето помеѓу заслужува тест-сегмент наместо производствениот LAN.

Рутата е потесна од членството во LAN

Рутираниот клиент добива адреса на тунелска подмрежа и рути за префиксите што ќе ги изберете. Може да стигне до серверот на апликацијата и до ништо друго, ако така вели политиката. Порталта станува точка на спроведување, под услов секој релевантен пат да поминува низ неа.

Не мешајте рута со дозвола. Да му кажете на клиентот како да стигне до подмрежа не го спречува да проба друго одредиште.

Применете контрола на пристап таму каде што навистина може да го спроведе текот, и задржете ги сопствените дозволи на апликацијата. Широко правило за препраќање или заборавен втор интерфејс можат да дадат повеќе отколку што сугерира дијаграмот. Читајте ги важечките правила, а не предвидените. Потоа тестирајте одредиште што треба да не успее, зашто политика што никој не се обидел да ја прекрши е само хипотеза.

Мостот го менува прашањето за прием

Мостот поврзува физички интерфејс и TAP уред во софтверски прекинувач, така што оддалечените уреди се приклучуваат на истиот домен на емитување. Тоа е вистинска можност и вистински ризик: оддалечениот уред повеќе не е рутиран гостин, тој е учесник.

Одлучете кои уреди смеат да се приклучат, кои типови рамки мора да поминат и каде се блокира несаканата интеракција. Адресирањето и овластувањето за DHCP стануваат дел од заедничката мрежа, а два DHCP сервери на еден сегмент создаваат точно онаа збрка што ја очекувате.

За инструментот, посветен тест-сегмент обично подобро одговара од канцеларискиот LAN. Држете го пристапот за управување надвор од експериментот и дефинирајте како привремениот учесник се отстранува кога работата ќе заврши.

Филтрирањето постои во двете топологии

Мостот не е сам по себе нефилтрирачки, а рутата не е сама по себе безбедна. Филтрирањето на мостови во Linux има свои куки и своја синтакса на правила, и правило напишано за рутирано IP препраќање не се применува автоматски на мостени рамки.

Проверете што платформата навистина поддржува пред да ветите граница:

bridge link show
nft list ruleset

TUN и TAP го опишуваат сообраќајот на интерфејсот, не шифрата. Менувањето интерфејси не поправа ништо од тоа: автентикацијата на партнерите, украдениот клуч и застарената криптографска политика сите ја преживуваат промената. Двете страни и понатаму бараат поставки што се совпаѓаат и и понатаму се поддржани.

Докажете ја границата со три обиди

Приемот се три набљудувања, не преглед на дијаграм. Потребната операција мора да работи, неповрзано одредиште мора да не успее, а сопствените услуги за управување на порталта мора да останат недостапни.

Стартувајте го дозволениот и забранетиот пат од истиот клиент и запишете ги двата:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

За мост додајте ги проверките на ниво на врска: дали поминува дозволениот сообраќај за откривање, дали адресирањето доаѓа од предвиденото овластување и дали привремениот учесник го нема по отстранувањето. Кога обичната рутирана IP веќе го задоволува барањето, приклучувањето на канцеларискиот Ethernet сегмент бара посебно оправдување и тоа треба да се запише пред промената.