Tre måter å arbeide på tvers av flere VPN-er uten forvirring

To kundetunneler, én bærbar PC og en nettleserfane som fortsatt er pålogget et sted den ikke burde være. Den vanskelige delen med å arbeide på tvers av flere private nettverk er ikke å koble til; det er å vite hvilken kontekst et vindu tilhører når du bytter. Et arbeidsområde svarer på det spørsmålet: én identitet, ett sett applikasjoner, én resolverpolicy og ett sted å se når noe løses opp feil. På en dårlig dag er det forskjellen mellom en femminutters rettelse og en datalekkasje.

Avgjør om arbeidet er samtidig

Hvis svaret er nei, stopp her og bruk den enkleste ordningen som er tilgjengelig. Én godkjent tilkobling om gangen, koblet til og fra gjennom klienten som eier profilen, fjerner en hel klasse feil før noen av dem kan oppstå.

Det er samtidigheten som øker kostnaden: overlappende prefikser, to resolverpolicyer og to sett applikasjonstilstand må skilles bevisst, ikke ved tid.

Skriv kravet ærlig ned, fordi ønsket om å unngå en gjenoppkobling ikke er det samme som behovet for begge nettverkene samtidig.

Sekvensielt er den billigste ordningen

Sekvensielt arbeid trenger ingen ekstra infrastruktur, og feilmodusen er en utdatert økt i stedet for en rutingskonflikt. Disiplinen ligger i overleveringen: fullfør operasjonen, lukk det som holder en tilkobling, koble fra og bekreft den neste tilkoblingen før du begynner å arbeide.

En nettleserfane eller terminal som blir stående åpen, bærer ikke nettverkskonteksten sin med seg. Den neste forespørselen går dit maskinen nå ruter, og det kan være den andre kunden.

Merk profiler etter kunde i stedet for etter protokoll, og hold eieren av legitimasjonen synlig i profilnavnet. En profil som heter work2 sier ingen noe i øyeblikket av et hastebytte.

Fordelen med denne ordningen er at den kan revideres. I hvert øyeblikk finnes én nettverkskontekst, og loggen viser når den endret seg.

Et arbeidsområde per kunde koster isolasjon

En virtuell maskin eller et eksternt utviklingsmiljø per kunde setter klienten, applikasjonene og navnene på ett sted. Byttet blir et vindusbytte i stedet for et nettverksbytte, og de to kontekstene kan ikke lekke inn i hverandre gjennom en vill rute.

Det er ikke gratis. Du vedlikeholder nå to eller tre systemer, patcher dem og bestemmer hvor filer og legitimasjon bor. Den virtuelle maskinen når også internett gjennom verten, så dens ytre vei er fortsatt veien til den bærbare PC-en din.

Kontroller at klienten og enhver policy for enhetstilstand tillater dette miljøet før du bygger vanen rundt det. En klient som nekter å kjøre i en virtuell maskin, er et faktum som bør oppdages tidlig.

En felles gateway er infrastruktur

En separat ruter som bærer utvalgt trafikk gjør problemet til et nettverksdesign. Det fungerer godt når flere personer trenger det samme kundenettverket, og det svikter når noen behandler den som en magisk boks som holder hver kunde atskilt.

Én gateway som bytter sin aktive tunnel er én felles kontekst med en kø, ikke flere uavhengige nettverk. Navngi hvem som kan endre den, hvilke kilder den betjener og hva som skjer når to personer trenger forskjellige kunder samtidig. Uten det svaret blir gatewayen en kilde til avbrudd som ingen eier. Den blir også stedet hvor noen stille slår av en sjekk for å rekke en frist.

Skriv overleveringen i en opptegnelse

Opptegnelsen trenger ikke være avansert; den må være spesifikk nok til at noen andre kan følge den. På Linux er et navnerom den tekniske versjonen av den samme ideen, med egne grensesnitt og egen rutetabell.

Disse kommandoene oppretter et navnerom, kjører en kommando i det og viser hvilke tilkoblinger skrivebordsklienten har nå:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Applikasjoner må fortsatt startes inne i navnerommet, og resolveroppsettet der inne er en egen fil. Isolering av grensesnitt isolerer ikke utklippstavlen, SSH-agenten eller en montert deling, og det er lekkasjene folk glemmer.

Velg den minste ordningen som bevarer den separasjonen du faktisk trenger, og hold overgangen synlig: vindutittel, terminalprompt, profilnavn og eier av legitimasjon bør alle stemme før en privat forespørsel sendes.