Tre måtar å arbeide over fleire VPN-ar utan forvirring på

To kundetunnelar, éin berbar PC og ei nettlesarfane som framleis er pålogga ein stad ho ikkje burde vere. Den vanskelege delen med å arbeide over fleire private nettverk er ikkje å kople til; det er å vite kva kontekst eit vindauge høyrer til når du byter. Eit arbeidsområde svarar på det spørsmålet: éin identitet, eitt sett program, éin resolverpolitikk og ein stad å sjå når noko blir løyst opp feil. På ein dårleg dag er det skilnaden mellom ei femminutts retting og ein datalekkasje.

Avgjer om arbeidet er samtidig

Viss svaret er nei, stopp her og bruk den enklaste ordninga som er tilgjengeleg. Éi godkjend tilkopling om gongen, kopla til og frå gjennom klienten som eig profilen, fjernar ein heil klasse feil før nokon av dei kan oppstå.

Det er samtidigheita som aukar kostnaden: overlappande prefiks, to resolverpolitikkar og to sett programtilstand må skiljast medvite, ikkje ved tid.

Skriv kravet ærleg ned, fordi ønsket om å unngå ei gjenoppkopling ikkje er det same som behovet for begge nettverka samtidig.

Sekvensielt er den billegaste ordninga

Sekvensielt arbeid treng ingen ekstra infrastruktur, og feilmodusen er ei utdatert økt i staden for ein rutekonflikt. Disiplinen ligg i overleveringa: fullfør operasjonen, lukk det som held ei tilkopling, kople frå og stadfest den neste tilkoplinga før du byrjar å arbeide.

Ei nettlesarfane eller ein terminal som blir ståande open, ber ikkje nettverkskonteksten sin med seg. Den neste førespurnaden går dit maskinen no rutar, og det kan vere den andre kunden.

Merk profilar etter kunde i staden for etter protokoll, og hald eigaren av legitimasjonen synleg i profilenamnet. Ein profil som heiter work2 seier ingen noko i augneblinken av eit hastig byte.

Fordelen med denne ordninga er at ho kan reviderast. I kvart augneblink finst éin nettverkskontekst, og loggen viser når han endra seg.

Eit arbeidsområde per kunde kostar isolasjon

Ein virtuell maskin eller eit eksternt utviklingsmiljø per kunde set klienten, programma og namna på ein stad. Byttet blir eit vindaugebyte i staden for eit nettverksbyte, og dei to kontekstane kan ikkje leke inn i kvarandre gjennom ei vill rute.

Det er ikkje gratis. Du vedlikeheld no to eller tre system, patchar dei og avgjer kvar filer og legitimasjon bur. Den virtuelle maskinen når også internett gjennom verten, så den ytre vegen er framleis vegen til den berbare PC-en din.

Kontroller at klienten og ein kvar politikk for einingstilstand tillèt dette miljøet før du byggjer vanen rundt det. Ein klient som nektar å køyre i ein virtuell maskin, er eit faktum som bør oppdagast tidleg.

Ein felles gateway er infrastruktur

Ein separat ruter som ber utvalt trafikk gjer problemet til eit nettverksdesign. Det fungerer godt når fleire personar treng det same kundenettverket, og det sviktar når nokon behandlar han som ein magisk boks som held kvar kunde åtskild.

Éin gateway som byter sin aktive tunnel er éin felles kontekst med ei kø, ikkje fleire uavhengige nettverk. Namngje kven som kan endre han, kva kjelder han tener og kva som skjer når to personar treng ulike kundar samtidig. Utan det svaret blir gatewayen ei kjelde til avbrot som ingen eig. Han blir også staden der nokon stille slår av ein sjekk for å rekke ein frist.

Skriv overleveringa i ei oppteikning

Oppteikninga treng ikkje vere avansert; ho må vere spesifikk nok til at nokon andre kan følgje ho. På Linux er eit namnerom den tekniske versjonen av den same ideen, med eigne grensesnitt og eigen rutetabell.

Desse kommandoane opprettar eit namnerom, køyrer ein kommando i det og viser kva tilkoplingar skrivebordsklienten har no:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Program må framleis startast inne i namnerommet, og resolveroppsettet der inne er ei eiga fil. Isolering av grensesnitt isolerer ikkje utklippstavla, SSH-agenten eller ei montert deling, og det er lekkasjane folk gløymer.

Vel den minste ordninga som bevarer den separasjonen du faktisk treng, og hald overgangen synleg: vindaugetittel, terminalprompt, profilenamn og eigar av legitimasjon bør alle stemme før ein privat førespurnad blir send.