Tiga cara bekerja merentas beberapa VPN tanpa kekeliruan

Dua terowong pelanggan, satu komputer riba dan satu tab pelayar yang masih log masuk di tempat yang sepatutnya tidak. Bahagian sukar bekerja merentas beberapa rangkaian peribadi bukanlah menyambung; ia adalah mengetahui konteks mana sesuatu tetingkap tergolong apabila anda bertukar. Ruang kerja menjawab soalan itu: satu identiti, satu set aplikasi, satu dasar penyelesai dan satu tempat untuk dilihat apabila sesuatu diselesaikan dengan salah. Pada hari yang buruk ia adalah perbezaan antara pembetulan lima minit dan kebocoran data.

Tentukan sama ada kerja itu serentak

Jika jawapannya tidak, berhenti di sini dan gunakan susunan paling mudah yang tersedia. Satu sambungan yang diluluskan pada satu masa, disambung dan diputuskan melalui klien yang memiliki profil, menghapuskan seluruh kelas kegagalan sebelum mana-mana daripadanya boleh berlaku.

Keserentakan itulah yang meningkatkan kos: awalan bertindih, dua dasar penyelesai dan dua set keadaan aplikasi semuanya mesti dipisahkan secara sengaja, bukan mengikut masa.

Tulis keperluan itu dengan jujur, kerana mahu mengelakkan sambungan semula bukanlah sama dengan memerlukan kedua-dua rangkaian pada satu masa.

Berjujukan ialah susunan paling murah

Kerja berjujukan tidak memerlukan infrastruktur tambahan, dan mod kegagalannya ialah sesi lapuk dan bukan konflik penghalaan. Disiplin terletak pada penyerahan: selesaikan operasi, tutup apa yang memegang sambungan, putuskan sambungan dan sahkan sambungan seterusnya sebelum mula bekerja.

Tab pelayar atau terminal yang kekal terbuka tidak membawa konteks rangkaiannya bersama. Permintaan seterusnya pergi ke tempat mesin kini menghalakan, yang mungkin pelanggan yang lain.

Labelkan profil mengikut pelanggan dan bukan mengikut protokol, dan kekalkan pemilik kelayakan kelihatan dalam nama profil. Profil bernama work2 tidak memberitahu sesiapa apa-apa pada saat peralihan yang tergesa-gesa.

Kelebihan susunan ini ialah ia boleh diaudit. Pada setiap saat ada satu konteks rangkaian, dan log menunjukkan bila ia berubah.

Satu ruang kerja setiap pelanggan menelan kos pengasingan

Mesin maya atau persekitaran pembangunan jauh setiap pelanggan meletakkan klien, aplikasi dan nama di satu tempat. Peralihan menjadi perubahan tetingkap dan bukan perubahan rangkaian, dan kedua-dua konteks tidak boleh bocor ke dalam satu sama lain melalui laluan yang sesat.

Itu tidak percuma. Anda kini menyelenggara dua atau tiga sistem, menampalnya dan memutuskan di mana fail dan kelayakan tinggal. Mesin maya juga mencapai internet melalui hos, jadi laluan luarnya masih laluan komputer riba anda.

Semak sama ada klien dan mana-mana dasar postur peranti membenarkan persekitaran itu sebelum membina tabiat di sekelilingnya. Klien yang enggan berjalan dalam mesin maya ialah fakta yang perlu ditemui awal.

Get laluan dikongsi ialah infrastruktur

Penghala berasingan yang membawa trafik terpilih menukar masalah itu menjadi reka bentuk rangkaian. Ia berfungsi dengan baik apabila beberapa orang memerlukan rangkaian pelanggan yang sama, dan ia gagal apabila seseorang menganggapnya sebagai kotak ajaib yang memisahkan setiap pelanggan.

Satu get laluan yang menukar terowong aktifnya ialah satu konteks dikongsi dengan baris gilir, bukan beberapa rangkaian bebas. Namakan siapa yang boleh mengubahnya, sumber mana yang dilayaninya dan apa yang berlaku apabila dua orang memerlukan pelanggan berbeza pada masa yang sama. Tanpa jawapan itu get laluan menjadi punca gangguan yang tiada pemiliknya. Ia juga menjadi tempat seseorang senyap-senyap mematikan semakan untuk menepati tarikh akhir.

Tulis penyerahan itu ke dalam rekod

Rekod itu tidak perlu canggih; ia perlu cukup khusus supaya orang lain boleh mengikutinya. Dalam Linux, ruang nama ialah versi teknikal idea yang sama, dengan antara muka dan jadual penghalaannya sendiri.

Perintah ini mencipta ruang nama, menjalankan perintah di dalamnya dan menunjukkan sambungan yang sedang dipegang oleh klien desktop:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Aplikasi masih perlu dilancarkan di dalam ruang nama, dan konfigurasi penyelesai di dalamnya ialah fail berasingan. Mengasingkan antara muka tidak mengasingkan papan keratan, agen SSH atau perkongsian yang dipasang, dan itulah kebocoran yang orang lupakan.

Pilih susunan terkecil yang mengekalkan pemisahan yang benar-benar anda perlukan, dan kekalkan peralihan itu kelihatan: tajuk tetingkap, gesaan terminal, nama profil dan pemilik kelayakan semuanya mesti bersetuju sebelum sebarang permintaan peribadi dihantar.