Trije načini dela z več VPN brez zmede

Dva tunela strank, en prenosnik in zavihek brskalnika, ki je še vedno prijavljen tam, kjer ne bi smel biti. Težji del dela prek več zasebnih omrežij ni povezovanje; je vedenje, kateremu kontekstu pripada okno, ko preklapljate. Delovni prostor odgovori na to vprašanje: ena identiteta, en nabor aplikacij, ena politika razreševalnika in eno mesto, kamor pogledati, ko se kaj razreši narobe. Na slab dan je to razlika med petminutnim popravkom in uhajanjem podatkov.

Odločite se, ali je delo sočasno

Če je odgovor ne, se ustavite tukaj in uporabite najpreprostejšo razpoložljivo ureditev. Ena odobrena povezava naenkrat, povezana in prekinjena prek odjemalca, ki ima profil, odstrani cel razred odpovedi, preden se lahko katera koli zgodi.

Prav sočasnost zvišuje stroške: prekrivajoče se predpone, dve politiki razreševalnika in dva nabora stanja aplikacij je treba ločiti namerno, ne s časom.

Zahtevo zapišite pošteno, ker se želja po izogibanju ponovni povezavi ne enači s potrebo po obeh omrežjih hkrati.

Zaporedje je najcenejša ureditev

Zaporedno delo ne potrebuje dodatne infrastrukture, njegov način odpovedi pa je zastarela seja in ne navzkrižje usmerjanja. Disciplina je v predaji: dokončajte operacijo, zaprite tisto, kar drži povezavo, prekinite povezavo in pred začetkom dela potrdite naslednjo povezavo.

Zavihek brskalnika ali terminal, ki ostane odprt, ne nosi svojega omrežnega konteksta s seboj. Njegova naslednja zahteva gre tja, kamor naprava zdaj usmerja, kar je lahko druga stranka.

Označite profile po stranki in ne po protokolu ter ohranite lastnika poverilnic vidnega v imenu profila. Profil z imenom work2 nikomur nič ne pove v trenutku naglice preklapljanja.

Prednost te ureditve je, da jo je mogoče revidirati. V vsakem trenutku obstaja en omrežni kontekst, dnevnik pa pokaže, kdaj se je spremenil.

Delovni prostor za vsako stranko stane izolacijo

Navidezni stroj ali oddaljeno razvojno okolje za vsako stranko postavi odjemalca, aplikacije in imena na eno mesto. Preklapljanje postane sprememba okna namesto spremembe omrežja in oba konteksta ne moreta puščati eden v drugega po zablodeli poti.

To ni brezplačno. Zdaj vzdržujete dva ali tri sisteme, jih popravljate in odločate, kje živijo datoteke in poverilnice. Navidezni stroj doseže internet tudi prek gostitelja, zato je njegova zunanja pot še vedno pot vašega prenosnika.

Preverite, ali odjemalec in kakršna koli politika stanja naprave dovoljujeta to okolje, preden okoli njega zgradite navado. Odjemalec, ki noče delovati v navideznem stroju, je dejstvo, ki ga je treba odkriti zgodaj.

Skupni prehod je infrastruktura

Ločen usmerjevalnik, ki prenaša izbran promet, spremeni problem v načrtovanje omrežja. Dobro deluje, ko več ljudi potrebuje isto omrežje stranke, in odpove, ko ga kdo obravnava kot čarobno škatlo, ki vsako stranko drži ločeno.

En prehod, ki preklaplja svoj aktivni tunel, je en skupni kontekst s čakalno vrsto, ne več neodvisnih omrežij. Poimenujte, kdo ga sme spreminjati, katerim virom služi in kaj se zgodi, ko dva človeka hkrati potrebujeta različni stranki. Brez tega odgovora postane prehod vir prekinitev, ki jih nihče ne lasti. Postane tudi kraj, kjer nekdo tiho izklopi pregled, da ujame rok.

Predajo zapišite v zapis

Zapis ni treba biti prefinjen; mora biti dovolj konkreten, da mu lahko kdo drug sledi. V Linuxu je imenski prostor tehnična različica iste zamisli, z lastnimi vmesniki in usmerjevalno tabelo.

Ti ukazi ustvarijo imenski prostor, v njem zaženejo ukaz in pokažejo, katere povezave ima namizni odjemalec zdaj:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Aplikacije je še vedno treba zagnati znotraj imenskega prostora, konfiguracija razreševalnika v njem pa je ločena datoteka. Izolacija vmesnikov ne izolira odložišča, agenta SSH ali pripete delitve, in prav te puščanja ljudje pozabijo.

Izberite najmanjšo ureditev, ki ohrani ločevanje, ki ga resnično potrebujete, in ohranite prehod viden: naslov okna, poziv terminala, ime profila in lastnik poverilnic se morajo vsi ujemati, preden je poslana kakršna koli zasebna zahteva.