Ruta eller brua VPN: vel ut frå kva klienten må nå

To saker kjem same dag: éin brukar treng ein intern webapp, og éin ingeniør treng at eit benkinstrument oppfører seg som om det står på same Ethernet-segment. Begge blir svara med set dei på VPN-en, og det er der trøbbelet byrjar. Ein ruta tunnel og ein brua tunnel spenner ulike relasjonar, og berre éin av dei passar til kvar førespurnad. Å velje topologi er ei tilgangsavgjerd, ikkje ei kryptografi-innstilling.

To førespurnader som ser like ut i skranken

Kravet frå den tilsette er ei teneste, nåbar over IP, frå ei eining du ikkje kontrollerer. Kravet frå ingeniøren er på lenkenivå: instrumentet ventar å sjå Ethernet-rammer og broadcast-oppdaging, og kanskje DHCP frå segmentet det trur det er på.

Dette er ulike spørsmål, og å svare på begge med ei bru utvidar tilgangen til den tilsette til heile kontoret sitt LAN utan grunn.

Skriv kravet som ei setning før du vel: kva mål, kva protokollar og kva partar som skal sjå lokale ut. Viss svaret er ein vert og ein port, dekkjer ruting det. Viss svaret er ein relasjon på rammenivå med einingar som berre snakkar broadcast, kan brua vere det einaste alternativet. Alt imellom fortener eit testsegment i staden for produksjons-LAN-et.

Ei rute er smalare enn LAN-medlemskap

Ein ruta klient får ei adresse på eit tunnelsubnett og ruter til prefiksa du vel. Han kan nå applikasjonsserveren og ingenting anna, viss det er det policyen seier. Gatewayen blir handhevingspunktet, føresett at kvar relevant veg kryssar han.

Ikkje forveksle ei rute med ei tillating. Å fortelje ein klient korleis han når eit subnett hindrar han ikkje i å prøve ein annan destinasjon.

Bruk tilgangskontroll der han faktisk kan handheve flyten, og hald applikasjonen sine eigne rettar på plass. Ein brei vidaresendingsregel eller eit gløymt ekstra grensesnitt kan gje meir enn diagrammet antydar. Les dei effektive reglane, ikkje dei tiltenkte. Test deretter ein destinasjon som burde feile, for ein policy ingen har prøvd å bryte er ein hypotese.

Ei bru endrar tilgangsspørsmålet

Broing kombinerer eit fysisk grensesnitt og ei TAP-eining til ein programvaresvitsj, slik at fjerne einingar knyter seg til same broadcast-domene. Det er ei reell evne og ein reell risiko: fjern-eininga er ikkje lenger ein ruta gjest, ho er deltakar.

Avgjer kva einingar som får knyte seg til, kva rammetypar som må krysse, og kvar uønskt samhandling blir blokkert. Adressering og DHCP-autoritet blir del av det delte nettet, og to DHCP-tenarar på eitt segment lagar nøyaktig det rotet du ventar.

For instrumentet passar eit eige testsegment vanlegvis betre enn kontoret sitt LAN. Hald administrasjonstilgangen utanfor eksperimentet, og definer korleis den mellombelse deltakaren blir fjerna når arbeidet er ferdig.

Filtrering finst i begge topologiane

Ei bru er ikkje iboande ufiltrerbar, og ei rute er ikkje iboande trygg. Linux-brufiltrering har sine eigne krok og sin eigen regelsyntaks, og ein regel skriven for ruta IP-vidaresending gjeld ikkje automatisk for brua rammer.

Sjekk kva plattforma faktisk støttar før du lovar ei grense:

bridge link show
nft list ruleset

TUN og TAP skildrar trafikken til grensesnittet, ikkje chifferet. Å byte grensesnitt fiksar ingenting av dette: peer-autentisering, ein stolen nøkkel og ein utdatert kryptografipolicy overlever alle endringa. Begge endar treng framleis innstillingar som passar saman og framleis blir støtta.

Prov grensa med tre forsøk

Aksept er tre observasjonar, ikkje ein gjennomgang av diagrammet. Den påkravde operasjonen må verke, ein urelatert destinasjon må feile, og administrasjonstenestene til gatewayen sjølv må halde seg utanfor rekkevidde.

Køyr den tillatne og den avviste vegen frå same klient, og noter begge:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

For ei bru legg du til lenkenivåkontrollane: om den tillatne oppdagingsframferda kryssar, om adresseringa kjem frå den tiltenkte autoriteten, og om den mellombelse deltakarer er borte etter fjerning. Når vanleg ruta IP allereie oppfyller kravet, krev tilkopling til kontoret sitt Ethernet-segment ein eigen grunngjeving, og ho bør skrivast ned før endringa.