VPN dihalakan atau dijambatani: pilih berdasarkan apa yang klien mesti capai

Dua tiket tiba pada hari yang sama: seorang pengguna memerlukan aplikasi web dalaman, dan seorang jurutera memerlukan instrumen bangku berkelakuan seolah-olah berada pada segmen Ethernet yang sama. Kedua-duanya dijawab dengan letakkan mereka pada VPN, dan di situlah masalah bermula. Terowong dihalakan dan terowong dijambatani meluaskan hubungan yang berbeza, dan hanya satu daripadanya sesuai untuk setiap permintaan. Memilih topologi ialah keputusan akses, bukan tetapan kriptografi.

Dua permintaan yang kelihatan sama di kaunter tiket

Keperluan pekerja ialah perkhidmatan, boleh dicapai melalui IP, dari peranti yang anda tidak kawal. Keperluan jurutera berada pada peringkat pautan: instrumen itu menjangkakan melihat bingkai Ethernet dan penemuan siaran, dan mungkin DHCP daripada segmen yang disangkanya berada.

Itu soalan yang berbeza, dan menjawab kedua-duanya dengan jambatan meluaskan akses pekerja ke seluruh LAN pejabat tanpa sebab.

Tulis keperluan sebagai ayat sebelum memilih: destinasi mana, protokol mana dan rakan mana yang mesti kelihatan setempat. Jika jawapannya hos dan port, penghalaan merangkuminya. Jika jawapannya hubungan peringkat bingkai dengan peranti yang hanya bercakap siaran, jambatan mungkin satu-satunya pilihan. Apa-apa di antaranya wajar mendapat segmen ujian dan bukan LAN pengeluaran.

Laluan lebih sempit daripada keahlian LAN

Klien dihalakan mendapat alamat pada subnet terowong dan laluan untuk awalan yang anda pilih. Ia boleh mencapai pelayan aplikasi dan tiada yang lain, jika itu yang dikatakan dasar. Get laluan menjadi titik penguatkuasaan, dengan syarat setiap laluan berkaitan melaluinya.

Jangan keliru antara laluan dengan kebenaran. Memberitahu klien cara mencapai subnet tidak menghalangnya mencuba destinasi lain.

Gunakan kawalan akses di tempat yang benar-benar boleh menguatkuasakan aliran, dan kekalkan kebenaran aplikasi itu sendiri. Peraturan penghantaran yang luas atau antara muka kedua yang terlupa boleh memberi lebih daripada yang ditunjukkan oleh rajah. Baca peraturan berkesan, bukan yang dimaksudkan. Kemudian uji destinasi yang sepatutnya gagal, kerana dasar yang tiada siapa cuba langgar hanyalah hipotesis.

Jambatan mengubah soalan kemasukan

Penjambatan menggabungkan antara muka fizikal dan peranti TAP menjadi suis perisian, jadi peranti jauh menyertai domain siaran yang sama. Itu keupayaan sebenar dan risiko sebenar: peranti jauh bukan lagi tetamu dihalakan, ia peserta.

Tentukan peranti mana yang boleh menyertai, jenis bingkai mana yang mesti melintas dan di mana interaksi tidak diingini disekat. Pengalamatan dan kuasa DHCP menjadi sebahagian daripada rangkaian dikongsi, dan dua pelayan DHCP pada satu segmen menghasilkan kekacauan yang anda jangkakan.

Untuk instrumen, segmen ujian khusus biasanya lebih sesuai daripada LAN pejabat. Jauhkan akses pengurusan daripada eksperimen, dan tentukan bagaimana peserta sementara dikeluarkan apabila kerja selesai.

Penapisan wujud dalam kedua-dua topologi

Jambatan tidak semestinya tidak boleh ditapis, dan laluan tidak semestinya selamat. Penapisan jambatan Linux mempunyai cangkuknya sendiri dan sintaks peraturannya sendiri, dan peraturan yang ditulis untuk penghantaran IP dihalakan tidak terpakai secara automatik pada bingkai dijambatani.

Semak apa yang sebenarnya disokong oleh platform sebelum menjanjikan sempadan:

bridge link show
nft list ruleset

TUN dan TAP menerangkan trafik antara muka, bukan sifer. Menukar antara muka tidak membaiki apa-apa daripada itu: pengesahan rakan, kunci yang dicuri dan dasar kriptografi lapuk semuanya bertahan melalui perubahan. Kedua-dua hujung masih memerlukan tetapan yang sepadan dan masih disokong.

Buktikan sempadan dengan tiga percubaan

Penerimaan ialah tiga pemerhatian, bukan semakan rajah. Operasi yang diperlukan mesti berfungsi, destinasi tidak berkaitan mesti gagal, dan perkhidmatan pengurusan get laluan itu sendiri mesti kekal di luar jangkauan.

Jalankan laluan yang dibenarkan dan yang dinafikan dari klien yang sama, dan rekod kedua-duanya:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Untuk jambatan, tambah pemeriksaan peringkat pautan: sama ada trafik penemuan yang dibenarkan melintas, sama ada pengalamatan datang daripada pihak berkuasa yang dimaksudkan, dan sama ada peserta sementara hilang selepas dikeluarkan. Apabila IP dihalakan biasa sudah memenuhi keperluan, menyertai segmen Ethernet pejabat memerlukan justifikasi berasingan, dan ia harus ditulis sebelum perubahan.