VPN roteada ou em ponte: escolha pelo que o cliente precisa alcançar

No mesmo dia chegam dois chamados: um usuário precisa de um aplicativo web interno, e um engenheiro precisa que um instrumento de bancada se comporte como se estivesse no mesmo segmento Ethernet. Os dois recebem a resposta coloque-os na VPN, e é aí que o problema começa. Um túnel roteado e um túnel em ponte estendem relações diferentes, e apenas uma delas serve para cada solicitação. Escolher a topologia é uma decisão de acesso, não um ajuste de criptografia.

Dois pedidos que parecem iguais no balcão

O requisito do funcionário é um serviço, alcançável por IP, a partir de um dispositivo que você não controla. O requisito do engenheiro é de nível de enlace: o instrumento espera ver quadros Ethernet e descoberta por broadcast, e talvez DHCP do segmento em que acredita estar.

São perguntas diferentes, e responder às duas com uma ponte amplia o acesso do funcionário para toda a LAN do escritório sem motivo.

Escreva o requisito como uma frase antes de escolher: quais destinos, quais protocolos e quais pares devem parecer locais. Se a resposta for um host e uma porta, o roteamento cobre isso. Se a resposta for uma relação de nível de quadro com dispositivos que só falam broadcast, a ponte pode ser a única opção. Tudo o que estiver no meio merece um segmento de teste em vez da LAN de produção.

Uma rota é mais estreita que a participação na LAN

Um cliente roteado recebe um endereço numa sub-rede de túnel e rotas para os prefixos que você escolher. Ele pode alcançar o servidor da aplicação e nada mais, se for o que a política diz. O gateway se torna o ponto de aplicação, desde que cada caminho relevante o atravesse.

Não confunda uma rota com uma permissão. Dizer a um cliente como alcançar uma sub-rede não o impede de tentar outro destino.

Aplique o controle de acesso onde ele realmente consegue impor o fluxo, e mantenha as permissões da própria aplicação. Uma regra de encaminhamento ampla ou uma segunda interface esquecida podem conceder mais do que o diagrama sugere. Leia as regras efetivas, não as pretendidas. Depois teste um destino que deveria falhar, porque uma política que ninguém tentou violar é uma hipótese.

Uma ponte muda a pergunta de admissão

A ponte combina uma interface física e um dispositivo TAP num comutador de software, de modo que os dispositivos remotos se juntam ao mesmo domínio de broadcast. É uma capacidade real e um risco real: o dispositivo remoto não é mais um convidado roteado, é um participante.

Decida quais dispositivos podem se juntar, que tipos de quadro devem atravessar e onde a interação indesejada é bloqueada. O endereçamento e a autoridade DHCP passam a fazer parte da rede compartilhada, e dois servidores DHCP num segmento produzem exatamente a confusão que você espera.

Para o instrumento, um segmento de teste dedicado geralmente se encaixa melhor do que a LAN do escritório. Mantenha o acesso de gestão fora do experimento e defina como o participante temporário é removido quando o trabalho termina.

A filtragem existe nas duas topologias

Uma ponte não é intrinsecamente não filtrável, e uma rota não é intrinsecamente segura. A filtragem de pontes no Linux tem seus próprios ganchos e sua própria sintaxe de regras, e uma regra escrita para encaminhamento IP roteado não se aplica automaticamente a quadros em ponte.

Verifique o que a plataforma realmente suporta antes de prometer uma fronteira:

bridge link show
nft list ruleset

TUN e TAP descrevem o tráfego da interface, não a cifra. Trocar interfaces não corrige nada disso: a autenticação de pares, uma chave roubada e uma política criptográfica desatualizada sobrevivem todas à mudança. As duas pontas ainda precisam de configurações que correspondam e que ainda sejam suportadas.

Prove a fronteira com três tentativas

A aceitação são três observações, não uma revisão do diagrama. A operação exigida deve funcionar, um destino não relacionado deve falhar, e os próprios serviços de gestão do gateway devem ficar fora de alcance.

Execute o caminho permitido e o negado a partir do mesmo cliente, e registre os dois:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Para uma ponte, acrescente as verificações de nível de enlace: se o tráfego de descoberta permitido atravessa, se o endereçamento vem da autoridade pretendida e se o participante temporário desapareceu após a remoção. Quando o IP roteado simples já satisfaz o requisito, entrar no segmento Ethernet do escritório exige uma justificativa separada, e ela deve ser escrita antes da mudança.