VPN rutowany czy mostkowany: wybierz według tego, do czego klient musi dotrzeć

Tego samego dnia przychodzą dwa zgłoszenia: jeden użytkownik potrzebuje wewnętrznej aplikacji webowej, a jeden inżynier potrzebuje, aby przyrząd stołowy zachowywał się tak, jakby stał w tym samym segmencie Ethernet. Na oba odpowiada się włóżcie je do VPN, i właśnie tam zaczynają się kłopoty. Tunel rutowany i tunel mostkowany rozciągają różne relacje, a do każdego żądania pasuje tylko jedna z nich. Wybór topologii to decyzja o dostępie, nie ustawienie kryptografii.

Dwa zgłoszenia, które przy okienku wyglądają tak samo

Wymaganiem pracownika jest usługa, osiągalna przez IP, z urządzenia, którego nie kontrolujesz. Wymaganie inżyniera jest na poziomie łącza: przyrząd oczekuje ramek Ethernet i wykrywania rozgłoszeniowego, a może i DHCP z segmentu, w którym sądzi, że się znajduje.

To różne pytania, a odpowiadanie na oba mostem bez powodu rozszerza dostęp pracownika na całą LAN biurową.

Zapisz wymaganie zdaniem, zanim wybierzesz: jakie cele, jakie protokoły i jakie strony mają wyglądać lokalnie. Jeśli odpowiedź to host i port, rutowanie to pokrywa. Jeśli odpowiedź to relacja na poziomie ramki z urządzeniami, które mówią tylko rozgłoszeniowo, most może być jedyną opcją. Wszystko pośrodku zasługuje na segment testowy zamiast LAN produkcyjnej.

Trasa jest węższa niż członkostwo w LAN

Klient rutowany dostaje adres w podsieci tunelu i trasy do wybranych prefiksów. Może dotrzeć do serwera aplikacji i do niczego więcej, jeśli tak mówi polityka. Brama staje się punktem egzekwowania, pod warunkiem że każda istotna ścieżka przez nią przechodzi.

Nie myl trasy z uprawnieniem. Powiedzenie klientowi, jak dotrzeć do podsieci, nie powstrzymuje go przed próbą innego celu.

Stosuj kontrolę dostępu tam, gdzie naprawdę może egzekwować przepływ, i zachowaj własne uprawnienia aplikacji. Szeroka reguła przekazywania lub zapomniany drugi interfejs mogą dać więcej, niż sugeruje diagram. Czytaj reguły obowiązujące, nie zamierzone. Potem przetestuj cel, który powinien zawieść, bo polityka, której nikt nie próbował złamać, jest hipotezą.

Most zmienia pytanie o dopuszczenie

Mostkowanie łączy interfejs fizyczny i urządzenie TAP w przełącznik programowy, więc urządzenia zdalne dołączają do tej samej domeny rozgłoszeniowej. To realna możliwość i realne ryzyko: urządzenie zdalne nie jest już rutowanym gościem, jest uczestnikiem.

Zdecyduj, które urządzenia mogą dołączyć, jakie typy ramek muszą przechodzić i gdzie blokowana jest niechciana interakcja. Adresowanie i władza DHCP stają się częścią współdzielonej sieci, a dwa serwery DHCP w jednym segmencie tworzą dokładnie ten bałagan, którego oczekujesz.

Dla przyrządu zwykle lepiej pasuje dedykowany segment testowy niż LAN biurowa. Trzymaj dostęp administracyjny poza eksperymentem i określ, jak tymczasowy uczestnik jest usuwany po zakończeniu pracy.

Filtrowanie istnieje w obu topologiach

Most nie jest z natury niefiltrowalny, a trasa nie jest z natury bezpieczna. Filtrowanie mostów w Linuksie ma własne haki i własną składnię reguł, a reguła napisana dla rutowanego przekazywania IP nie stosuje się automatycznie do ramek mostkowanych.

Sprawdź, co platforma naprawdę obsługuje, zanim obiecasz granicę:

bridge link show
nft list ruleset

TUN i TAP opisują ruch interfejsu, nie szyfr. Zmiana interfejsów niczego z tego nie naprawia: uwierzytelnianie drugiej strony, skradziony klucz i przestarzała polityka kryptograficzna wszystkie przetrwają zmianę. Obie strony nadal potrzebują ustawień, które do siebie pasują i są nadal obsługiwane.

Udowodnij granicę trzema próbami

Odbiór to trzy obserwacje, nie przegląd diagramu. Wymagana operacja musi działać, niepowiązany cel musi zawieść, a własne usługi zarządzania bramy muszą pozostać poza zasięgiem.

Uruchom ścieżkę dozwoloną i odmówioną z tego samego klienta i zapisz obie:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Dla mostu dodaj kontrole na poziomie łącza: czy przechodzi dozwolony ruch wykrywania, czy adresowanie pochodzi od zamierzonego organu i czy tymczasowy uczestnik zniknął po usunięciu. Gdy zwykły rutowany IP już spełnia wymaganie, dołączenie do segmentu Ethernet biura wymaga osobnego uzasadnienia, a ono powinno być zapisane przed zmianą.