VPN rutat sau punte: alegeți după ce trebuie să atingă clientul

În aceeași zi sosesc două tichete: un utilizator are nevoie de o aplicație web internă, iar un inginer are nevoie ca un instrument de banc să se comporte ca și cum ar sta în același segment Ethernet. Ambele primesc răspunsul puneți-le pe VPN, și de aici începe necazul. Un tunel rutat și un tunel în punte întind relații diferite, și doar una dintre ele se potrivește fiecărei cereri. Alegerea topologiei este o decizie de acces, nu o setare de criptografie.

Două cereri care arată la fel la ghișeu

Cerința angajatului este un serviciu, accesibil prin IP, de pe un dispozitiv pe care nu îl controlați. Cerința inginerului este la nivel de legătură: instrumentul se așteaptă să vadă cadre Ethernet și descoperire prin broadcast, și poate DHCP din segmentul în care crede că se află.

Sunt întrebări diferite, iar răspunsul la ambele cu o punte lărgește accesul angajatului la întreaga LAN a biroului fără motiv.

Scrieți cerința ca o propoziție înainte de a alege: ce destinații, ce protocoale și ce parteneri trebuie să pară locale. Dacă răspunsul este un host și un port, rutarea îl acoperă. Dacă răspunsul este o relație la nivel de cadru cu dispozitive care vorbesc doar prin broadcast, puntea poate fi singura opțiune. Orice între ele merită un segment de test în locul LAN-ului de producție.

O rută este mai îngustă decât apartenența la LAN

Un client rutat primește o adresă într-o subrețea de tunel și rute pentru prefixele pe care le alegeți. Poate atinge serverul aplicației și nimic altceva, dacă așa spune politica. Gateway-ul devine punctul de aplicare, cu condiția ca fiecare cale relevantă să treacă prin el.

Nu confundați o rută cu o permisiune. A-i spune unui client cum să atingă o subrețea nu îl împiedică să încerce altă destinație.

Aplicați controlul accesului acolo unde poate impune efectiv fluxul, și păstrați permisiunile aplicației înseși. O regulă largă de redirecționare sau o a doua interfață uitată pot acorda mai mult decât sugerează diagrama. Citiți regulile efective, nu pe cele intenționate. Apoi testați o destinație care ar trebui să eșueze, pentru că o politică pe care nimeni nu a încercat să o încalce este o ipoteză.

O punte schimbă întrebarea admiterii

Puntea combină o interfață fizică și un dispozitiv TAP într-un comutator software, astfel încât dispozitivele la distanță se alătură aceluiași domeniu broadcast. Este o capacitate reală și un risc real: dispozitivul la distanță nu mai este un oaspete rutat, este participant.

Decideți ce dispozitive pot intra, ce tipuri de cadre trebuie să treacă și unde este blocată interacțiunea nedorită. Adresarea și autoritatea DHCP devin parte a rețelei partajate, iar două servere DHCP într-un segment produc exact haosul la care vă așteptați.

Pentru instrument, un segment de test dedicat se potrivește de obicei mai bine decât LAN-ul biroului. Țineți accesul de administrare în afara experimentului și definiți cum este eliminat participantul temporar la sfârșitul lucrării.

Filtrarea există în ambele topologii

O punte nu este prin natura ei nefiltrabilă, iar o rută nu este prin natura ei sigură. Filtrarea punților în Linux are cârligele ei și sintaxa ei de reguli, iar o regulă scrisă pentru redirecționarea IP rutată nu se aplică automat cadrelor în punte.

Verificați ce suportă platforma cu adevărat înainte de a promite o graniță:

bridge link show
nft list ruleset

TUN și TAP descriu traficul interfeței, nu cifrul. Schimbarea interfețelor nu repară nimic din asta: autentificarea partenerilor, o cheie furată și o politică criptografică învechită supraviețuiesc toate schimbării. Ambele capete au în continuare nevoie de setări care se potrivesc și sunt încă acceptate.

Dovediți granița cu trei încercări

Acceptarea înseamnă trei observații, nu o revizuire a diagramei. Operația cerută trebuie să funcționeze, o destinație fără legătură trebuie să eșueze, iar serviciile de administrare ale gateway-ului însuși trebuie să rămână în afara razei.

Rulați calea permisă și calea refuzată de pe același client și înregistrați-le pe amândouă:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Pentru o punte, adăugați verificările la nivel de legătură: dacă traficul de descoperire permis trece, dacă adresarea vine de la autoritatea prevăzută și dacă participantul temporar a dispărut după eliminare. Când IP-ul rutat simplu satisface deja cerința, intrarea în segmentul Ethernet al biroului necesită o justificare separată, iar aceasta trebuie scrisă înainte de schimbare.