Usmerjeni ali mostovni VPN: izberite glede na to, do česa mora klient priti

Istega dne prideta dva zahtevka: en uporabnik potrebuje notranjo spletno aplikacijo, en inženir pa potrebuje, da se namizni instrument obnaša, kot da stoji v istem segmentu Ethernet. Na oba se odgovori dajte ju na VPN, in prav tam se začnejo težave. Usmerjeni tunel in mostovni tunel razpenjata različna razmerja in vsaki zahtevi ustreza samo eden od njiju. Izbira topologije je odločitev o dostopu, ne kriptografska nastavitev.

Dva zahtevka, ki sta na okencu videti enaka

Zahteva zaposlenega je storitev, dosegljiva prek IP, z naprave, ki je ne nadzorujete. Zahteva inženirja je na ravni povezave: instrument pričakuje, da bo videl okvire Ethernet in odkrivanje s pretakanjem, in morda DHCP iz segmenta, v katerem misli, da je.

To sta različni vprašanji in odgovor na obe z mostom brez razloga razširi dostop zaposlenega na celoten pisarniški LAN.

Pred izbiro zapišite zahtevo kot stavek: kateri cilji, kateri protokoli in kateri partnerji morajo biti videti lokalni. Če je odgovor gostitelj in vrata, usmerjanje to pokrije. Če je odgovor razmerje na ravni okvira z napravami, ki govorijo samo s pretakanjem, je most morda edina možnost. Vse vmes si zasluži preskusni segment namesto produkcijskega LAN-a.

Pot je ožja od članstva v LAN-u

Usmerjeni odjemalec dobi naslov v podmreži tunela in poti za predpone, ki jih izberete. Doseže lahko aplikacijski strežnik in nič drugega, če tako pravi politika. Prehod postane točka izvajanja, pod pogojem, da vsaka pomembna pot poteka skozenj.

Ne zamenjujte poti z dovoljenjem. Če odjemalcu poveste, kako doseže podmrežo, ga to ne ustavi pri poskusu drugega cilja.

Uveljavite nadzor dostopa tam, kjer lahko resnično uveljavi tok, in ohranite lastna dovoljenja aplikacije. Široko pravilo posredovanja ali pozabljen drugi vmesnik lahko dodeli več, kot nakazuje diagram. Berite veljavna pravila, ne predvidena. Nato preizkusite cilj, ki bi moral spodleteti, ker je politika, ki je nihče ni poskusil kršiti, hipoteza.

Most spremeni vprašanje o sprejemu

Mostenje združi fizični vmesnik in napravo TAP v programsko stikalo, zato se oddaljene naprave pridružijo isti domeni pretakanja. To je resnična zmožnost in resnično tveganje: oddaljena naprava ni več usmerjeni gost, je udeleženec.

Odločite, katere naprave se smejo pridružiti, katere vrste okvirov morajo preiti in kje se neželena interakcija blokira. Naslavljanje in pooblastilo DHCP postaneta del skupnega omrežja in dva strežnika DHCP v enem segmentu ustvarita natanko tisto zmedo, ki jo pričakujete.

Za instrument običajno bolj ustreza namenski preskusni segment kot pisarniški LAN. Upravljanje dostopa držite zunaj poskusa in določite, kako se začasni udeleženec odstrani, ko je delo končano.

Filtriranje obstaja v obeh topologijah

Most ni sam po sebi nefiltrirni, pot pa ni sama po sebi varna. Filtriranje mostov v Linuxu ima svoje kljuke in svojo sintakso pravil, pravilo, napisano za usmerjeno posredovanje IP, pa se ne uporablja samodejno za mostovne okvire.

Preverite, kaj platforma v resnici podpira, preden obljubite mejo:

bridge link show
nft list ruleset

TUN in TAP opisujeta promet vmesnika, ne šifre. Zamenjava vmesnikov ne popravi ničesar od tega: preverjanje pristnosti partnerjev, ukraden ključ in zastarela kriptografska politika vsi preživijo spremembo. Obe strani še vedno potrebujeta nastavitve, ki se ujemajo in so še vedno podprte.

Dokažite mejo s tremi poskusi

Sprejem so tri opazovanja, ne pregled diagrama. Zahtevana operacija mora delovati, nepovezan cilj mora spodleteti in lastne upravljalne storitve prehoda morajo ostati nedosegljive.

Zaženite dovoljeno in zavrnjeno pot z istega odjemalca in zabeležite obe:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Pri mostu dodajte preverjanja na ravni povezave: ali dovoljeni promet odkrivanja preide, ali naslavljanje prihaja od predvidenega organa in ali je začasni udeleženec po odstranitvi izginil. Ko preprost usmerjen IP zahtevo že izpolnjuje, pridružitev pisarniškemu segmentu Ethernet potrebuje ločeno utemeljitev in to je treba zapisati pred spremembo.