Trei moduri de a lucra cu mai multe VPN-uri fără confuzie

Două tuneluri de client, un laptop și o filă de browser care este încă autentificată unde nu ar trebui. Partea dificilă a lucrului în mai multe rețele private nu este conectarea; este să știi cărei contexte îi aparține o fereastră când comuți. Un spațiu de lucru răspunde la această întrebare: o identitate, un set de aplicații, o politică de resolver și un loc unde să te uiți când ceva este rezolvat greșit. Într-o zi proastă, aceasta este diferența dintre o corectare de cinci minute și o scurgere de date.

Decideți dacă munca este simultană

Dacă răspunsul este nu, opriți-vă aici și folosiți cea mai simplă aranjare disponibilă. O singură conexiune aprobată odată, conectată și deconectată prin clientul care deține profilul, elimină o întreagă clasă de defecțiuni înainte ca vreuna să poată apărea.

Simultaneitatea este cea care crește costul: prefixele suprapuse, două politici de resolver și două seturi de stare a aplicațiilor trebuie separate intenționat, nu după timp.

Scrieți cerința cu onestitate, pentru că dorința de a evita o reconectare nu este același lucru cu nevoia ambelor rețele simultan.

Secvențial este cea mai ieftină aranjare

Munca secvențială nu are nevoie de infrastructură suplimentară, iar modul său de eșec este o sesiune învechită, nu un conflict de rutare. Disciplina stă în predare: terminați operația, închideți ce ține o conexiune, deconectați-vă și confirmați următoarea conexiune înainte de a începe lucrul.

O filă de browser sau un terminal care rămâne deschis nu își duce contextul de rețea cu el. Următoarea sa cerere merge unde rutează mașina acum, ceea ce poate fi celălalt client.

Etichetați profilurile după client, nu după protocol, și țineți proprietarul acreditărilor vizibil în numele profilului. Un profil numit work2 nu spune nimănui nimic în momentul unei comutări grăbite.

Avantajul acestei aranjări este că poate fi auditată. În orice moment există un singur context de rețea, iar jurnalul arată când s-a schimbat.

Un spațiu de lucru per client costă izolare

O mașină virtuală sau un mediu de dezvoltare la distanță per client pune clientul, aplicațiile și numele într-un singur loc. Comutarea devine o schimbare de fereastră în loc de o schimbare de rețea, iar cele două contexte nu pot scurge unul în altul printr-o rută rătăcită.

Nu este gratuit. Acum întrețineți două sau trei sisteme, le aplicați patch-uri și decideți unde trăiesc fișierele și acreditările. Mașina virtuală ajunge la internet și prin gazdă, așa că traseul ei exterior rămâne traseul laptopului.

Verificați dacă clientul și orice politică de stare a dispozitivului permit acel mediu înainte de a construi obiceiul în jurul lui. Un client care refuză să ruleze într-o mașină virtuală este un fapt de descoperit devreme.

Un gateway partajat este infrastructură

Un router separat care transportă trafic selectat transformă problema într-un design de rețea. Funcționează bine când mai multe persoane au nevoie de aceeași rețea de client și eșuează când cineva îl tratează ca pe o cutie magică ce ține fiecare client separat.

Un gateway care își comută tunelul activ este un singur context partajat cu o coadă, nu mai multe rețele independente. Numiți cine îl poate schimba, căror surse servește și ce se întâmplă când doi oameni au nevoie de clienți diferiți în același timp. Fără acest răspuns, gateway-ul devine o sursă de întreruperi pe care nimeni nu le deține. Devine și locul unde cineva dezactivează în liniște o verificare pentru a respecta un termen.

Scrieți predarea într-o înregistrare

Înregistrarea nu trebuie să fie sofisticată; trebuie să fie suficient de specifică încât altcineva să o poată urma. În Linux, un spațiu de nume este versiunea tehnică a aceleiași idei, cu interfețele și tabela de rutare proprii.

Aceste comenzi creează un spațiu de nume, rulează o comandă în interiorul lui și arată ce conexiuni deține acum clientul de desktop:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Aplicațiile trebuie în continuare lansate în interiorul spațiului de nume, iar configurația de resolver din el este un fișier separat. Izolarea interfețelor nu izolează clipboard-ul, agentul SSH sau o partajare montată, iar acestea sunt scurgerile pe care oamenii le uită.

Alegeți cea mai mică aranjare care păstrează separarea de care aveți cu adevărat nevoie și țineți tranziția vizibilă: titlul ferestrei, promptul terminalului, numele profilului și proprietarul acreditărilor trebuie să fie toate de acord înainte de a trimite orice cerere privată.