Tri spôsoby, ako pracovať s viacerými VPN bez zmätku

Dva zákaznícke tunely, jeden notebook a karta v prehliadači, ktorá je stále prihlásená tam, kde by nemala byť. Náročná časť práce cez viacero súkromných sietí nie je pripájanie; je to vedieť, ku ktorému kontextu okno patrí, keď prepínate. Pracovný priestor odpovedá na túto otázku: jedna identita, jedna sada aplikácií, jedna politika resolvera a jedno miesto, kam sa pozrieť, keď sa niečo vyrieši nesprávne. V zlý deň je to rozdiel medzi päťminútovou opravou a únikom dát.

Rozhodnite, či je práca súbežná

Ak je odpoveď nie, zastavte sa tu a použite najjednoduchšie dostupné usporiadanie. Jedno schválené pripojenie naraz, pripájané a odpájané cez klienta, ktorý vlastní profil, odstraňuje celú triedu zlyhaní skôr, než k niektorému môže dôjsť.

Práve súbežnosť zvyšuje náklady: prekrývajúce sa prefixy, dve politiky resolvera a dve sady stavu aplikácií musia byť oddelené zámerne, nie časom.

Zapíšte požiadavku úprimne, pretože túžba vyhnúť sa opätovnému pripojeniu nie je to isté ako potreba oboch sietí naraz.

Sekvencia je najlacnejšie usporiadanie

Postupná práca nepotrebuje žiadnu ďalšiu infraštruktúru a jej režim zlyhania je zastaraná relácia, nie konflikt smerovania. Disciplína je v odovzdaní: dokončite operáciu, zatvorte to, čo drží pripojenie, odpojte sa a pred začatím práce potvrďte ďalšie pripojenie.

Karta v prehliadači alebo terminál, ktorý zostane otvorený, nenesie so sebou svoj sieťový kontext. Jeho ďalšia požiadavka ide tam, kam stroj teraz smeruje, čo môže byť druhý zákazník.

Označujte profily podľa zákazníka, nie podľa protokolu, a držte vlastníka prihlasovacích údajov viditeľného v názve profilu. Profil s názvom work2 nikomu nič nepovie v okamihu uponáhľaného prepnutia.

Výhodou tohto usporiadania je, že je auditovateľné. V každom okamihu existuje jeden sieťový kontext a protokol ukazuje, kedy sa zmenil.

Pracovný priestor pre každého zákazníka stojí izoláciu

Virtuálny stroj alebo vzdialené vývojové prostredie pre každého zákazníka dáva klienta, aplikácie a názvy na jedno miesto. Prepínanie sa stáva zmenou okna namiesto zmeny siete a oba kontexty nemôžu presakovať jeden do druhého zblúdilou cestou.

Nie je to zadarmo. Teraz udržiavate dva alebo tri systémy, záplatujete ich a rozhodujete, kde žijú súbory a prihlasovacie údaje. Virtuálny stroj sa tiež dostáva na internet cez hostiteľa, takže jeho vonkajšia cesta je stále cestou vášho notebooku.

Overte, či klient a akákoľvek politika stavu zariadenia povoľujú toto prostredie, skôr než okolo neho vybudujete zvyk. Klient, ktorý odmieta bežať vo virtuálnom stroji, je fakt, ktorý treba objaviť skoro.

Spoločná brána je infraštruktúra

Samostatný router prenášajúci vybranú prevádzku mení problém na návrh siete. Funguje dobre, keď niekoľko ľudí potrebuje tú istú zákaznícku sieť, a zlyháva, keď s ním niekto zaobchádza ako s čarovnou skrinkou, ktorá drží každého zákazníka oddelene.

Jedna brána, ktorá prepína svoj aktívny tunel, je jeden spoločný kontext s frontom, nie niekoľko nezávislých sietí. Pomenujte, kto ju smie meniť, ktorým zdrojom slúži a čo sa stane, keď dvaja ľudia potrebujú rôznych zákazníkov v tom istom čase. Bez tejto odpovede sa brána stáva zdrojom výpadkov, ktoré nikto nevlastní. Stáva sa aj miestom, kde niekto potichu vypne kontrolu, aby stihol termín.

Zapíšte odovzdanie do záznamu

Záznam nemusí byť sofistikovaný; musí byť dosť konkrétny, aby ho niekto iný mohol sledovať. V Linuxe je menný priestor technickou verziou tej istej myšlienky, s vlastnými rozhraniami a smerovacou tabuľkou.

Tieto príkazy vytvoria menný priestor, spustia v ňom príkaz a ukážu, ktoré pripojenia klient plochy práve drží:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Aplikácie sa stále musia spúšťať vnútri menného priestoru a konfigurácia resolvera v ňom je samostatný súbor. Izolácia rozhraní neizoluje schránku, agenta SSH ani pripojené zdieľanie, a práve tieto úniky ľudia zabúdajú.

Vyberte najmenšie usporiadanie, ktoré zachová oddelenie, ktoré skutočne potrebujete, a držte prechod viditeľný: titulok okna, výzva terminálu, názov profilu a vlastník prihlasovacích údajov musia pred odoslaním akejkoľvek súkromnej požiadavky súhlasiť.