VPN bir-rotot jew bil-pont: agħżel skont dak li l-klijent irid jilħaq

Jaslu żewġ tickets fl-istess jum: utent wieħed jeħtieġ applikazzjoni web interna, u inġinier wieħed jeħtieġ li strument tal-bank jaġixxi bħallikieku qiegħed fuq l-istess segment Ethernet. It-tnejn jiġu mwieġba b’poġġihom fuq il-VPN, u hemmhekk tibda l-inkwiet. Tunnel bir-rotot u tunnel bil-pont jestendu relazzjonijiet differenti, u wieħed biss minnhom jaqbel ma’ kull talba. L-għażla tat-topoloġija hija deċiżjoni ta’ aċċess, mhux setting ta’ kriptografija.

Żewġ talbiet li jidhru l-istess fil-bank tat-tickets

Il-ħtieġa tal-impjegat hija servizz, li jista’ jintlaħaq permezz ta’ IP, minn apparat li int ma tikkontrollax. Il-ħtieġa tal-inġinier hija fil-livell tal-ħolqa: l-istrument jistenna li jara qafas Ethernet u skoperta bil-broadcast, u forsi DHCP mis-segment li jaħseb li qiegħed fih.

Dawn huma mistoqsijiet differenti, u li twieġeb it-tnejn b’pont tespandi l-aċċess tal-impjegat għall-LAN kollu tal-uffiċċju mingħajr raġuni.

Ikteb il-ħtieġa bħala sentenza qabel tagħżel: liema destinazzjonijiet, liema protokolli u liema pari għandhom jidhru lokali. Jekk it-tweġiba hija host u port, ir-rotot ikopruha. Jekk it-tweġiba hija relazzjoni fil-livell tal-qafas ma’ apparati li jitkellmu biss bil-broadcast, il-pont jista’ jkun l-unika għażla. Kull ħaġa bejniethom tistħoqq segment tat-test minflok il-LAN tal-produzzjoni.

Rotta hija idjaq mill-membru tal-LAN

Klijent bir-rotot jieħu indirizz fuq subnet tat-tunnel u rotot għall-prefissi li tagħżel. Jista’ jilħaq is-server tal-applikazzjoni u xejn ieħor, jekk hekk tgħid il-politika. Il-gateway isir il-punt tal-infurzar, sakemm kull triq rilevanti tgħaddi minnu.

Tħallatx rotta ma’ permess. Li tgħid lil klijent kif jilħaq subnet ma jwaqqfux milli jipprova destinazzjoni oħra.

Applika l-kontroll tal-aċċess fejn verament jista’ jinfurza l-fluss, u żomm il-permessi tal-applikazzjoni stess. Regola wiesgħa ta’ trażmissjoni jew it-tieni interface minsija jistgħu jagħtu aktar milli jissuġġerixxi d-dijagramma. Aqra r-regoli effettivi, mhux dawk maħsuba. Imbagħad ittestja destinazzjoni li għandha tfalli, għax politika li ħadd ma pprova jikser hija biss ipoteżi.

Pont ibiddel il-mistoqsija tad-dħul

Il-pont jgħaqqad interface fiżika u apparat TAP fi switch tas-software, u b’hekk apparati mill-bogħod jingħaqdu mal-istess dominju tal-broadcast. Din hija kapaċità vera u riskju veru: l-apparat mill-bogħod m’għadux mistieden bir-rotot, huwa parteċipant.

Iddeċiedi liema apparati jistgħu jingħaqdu, liema tipi ta’ qafas għandhom jgħaddu u fejn jiġi mblukkat l-interazzjoni mhux mixtieqa. L-indirizzar u l-awtorità DHCP isiru parti min-netwerk maqsum, u żewġ servers DHCP fuq segment wieħed jipproduċu eżatt il-kaos li tistenna.

Għall-istrument, segment tat-test iddedikat normalment jaqbel aħjar mill-LAN tal-uffiċċju. Żomm l-aċċess tal-ġestjoni barra mill-esperiment, u iddefinixxi kif jitneħħa l-parteċipant temporanju meta jispiċċa x-xogħol.

Il-filtrazzjoni teżisti fiż-żewġ topoloġiji

Pont mhux b’natura tiegħu mhux filtrabli, u rotta mhix b’natura tagħha sigura. Il-filtrazzjoni tal-pont f’Linux għandha l-hooks tagħha u s-sintassi tar-regoli tagħha, u regola miktuba għat-trażmissjoni tal-IP bir-rotot ma tapplikax b’mod awtomatiku għall-qafas bil-pont.

Iċċekkja x’verament tappoġġja l-pjattaforma qabel ma twiegħed fruntiera:

bridge link show
nft list ruleset

TUN u TAP jiddeskrivu t-traffiku tal-interface, mhux iċ-ċifrar. Il-bdil tal-interfaces ma jsewwi xejn minn dan: l-awtentikazzjoni tal-pari, ċavetta misruqa u politika kriptografika skaduta kollha jgħaddu mill-bidla. Iż-żewġt itruf għadhom jeħtieġu settings li jaqblu u li għadhom appoġġjati.

Ipprova l-fruntiera bi tliet attentati

L-aċċettazzjoni hija tliet osservazzjonijiet, mhux reviżjoni tad-dijagramma. L-operazzjoni meħtieġa trid taħdem, destinazzjoni mhux relatata trid tfalli, u s-servizzi tal-ġestjoni tal-gateway stess iridu jibqgħu barra mill-ġibda.

Mexxi t-triq permessa u dik miċħuda mill-istess klijent, u rreġistra t-tnejn:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Għal pont, żid il-kontrolli fil-livell tal-ħolqa: jekk tgħaddix it-traffiku tal-iskoperta permess, jekk l-indirizzar jiġix mill-awtorità maħsuba, u jekk il-parteċipant temporanju telaqx wara t-tneħħija. Meta IP bir-rotot sempliċi diġà jissodisfa l-ħtieġa, id-dħul fis-segment Ethernet tal-uffiċċju jeħtieġ ġustifikazzjoni separata, u din għandha tinkiteb qabel il-bidla.