VPN i rrugëzuar ose me urë: zgjidhni sipas asaj që klienti duhet të arrijë

Të njëjtën ditë vijnë dy tiketa: një përdorues ka nevojë për një aplikacion web të brendshëm, dhe një inxhinier ka nevojë që një instrument stoli të sillet sikur të ishte në të njëjtin segment Ethernet. Të dyve u përgjigjet vendosini në VPN, dhe pikërisht aty fillojnë problemet. Një tunel i rrugëzuar dhe një tunel me urë shtrijnë marrëdhënie të ndryshme, dhe vetëm njëri prej tyre përshtatet me çdo kërkesë. Zgjedhja e topologjisë është vendim qasjeje, jo rregullim kriptografie.

Dy kërkesa që në sportel duken njësoj

Kërkesa e punonjësit është një shërbim, i arritshëm përmes IP, nga një pajisje që ju nuk e kontrolloni. Kërkesa e inxhinierit është në nivel lidhjeje: instrumenti pret të shohë korniza Ethernet dhe zbulim me transmetim, dhe ndoshta DHCP nga segmenti ku mendon se ndodhet.

Këto janë pyetje të ndryshme, dhe përgjigjja e të dyjave me një urë zgjeron pa arsye qasjen e punonjësit në të gjithë LAN-in e zyrës.

Shkruani kërkesën si fjali përpara se të zgjidhni: cilat destinacione, cilat protokolle dhe cilët partnerë duhet të duken lokalë. Nëse përgjigjja është një host dhe një portë, rrugëzimi e mbulon. Nëse përgjigjja është një marrëdhënie në nivel kornize me pajisje që flasin vetëm me transmetim, ura mund të jetë opsioni i vetëm. Çdo gjë në mes meriton një segment provë në vend të LAN-it të prodhimit.

Një rrugë është më e ngushtë se anëtarësia në LAN

Një klient i rrugëzuar merr një adresë në një nënrrjet tuneli dhe rrugë për parashtesat që zgjidhni. Ai mund të arrijë serverin e aplikacionit dhe asgjë tjetër, nëse kështu thotë politika. Porta bëhet pika e zbatimit, me kusht që çdo shteg përkatës të kalojë përmes saj.

Mos ngatërroni një rrugë me një leje. T'i thuash një klienti si të arrijë një nënrrjet nuk e pengon të provojë një destinacion tjetër.

Zbatoni kontrollin e qasjes aty ku vërtet mund të imponojë rrjedhën, dhe mbani lejet e vetë aplikacionit. Një rregull i gjerë përcjelljeje ose një ndërfaqe e dytë e harruar mund të japin më shumë sesa sugjeron diagrami. Lexoni rregullat në fuqi, jo ato të synuara. Pastaj provoni një destinacion që duhet të dështojë, sepse një politikë që askush nuk ka provuar ta shkelë është hipotezë.

Një urë ndryshon pyetjen e pranimit

Ura bashkon një ndërfaqe fizike dhe një pajisje TAP në një komutator software, kështu që pajisjet në distancë bashkohen me të njëjtin domen transmetimi. Kjo është aftësi e vërtetë dhe rrezik i vërtetë: pajisja në distancë nuk është më mysafir i rrugëzuar, është pjesëmarrës.

Vendosni cilat pajisje mund të bashkohen, cilat lloje kornizash duhet të kalojnë dhe ku bllokohet ndërveprimi i padëshiruar. Adresimi dhe autoriteti i DHCP bëhen pjesë e rrjetit të përbashkët, dhe dy serverë DHCP në një segment prodhojnë pikërisht rrëmujën që prisni.

Për instrumentin, një segment provë i dedikuar zakonisht përshtatet më mirë sesa LAN-i i zyrës. Mbani qasjen e menaxhimit jashtë eksperimentit dhe përcaktoni se si hiqet pjesëmarrësi i përkohshëm kur puna mbaron.

Filtrimi ekziston në të dyja topologjitë

Një urë nuk është në vetvete e pafiltrueshme, dhe një rrugë nuk është në vetvete e sigurt. Filtrimi i urave në Linux ka grepat e veta dhe sintaksën e vet të rregullave, dhe një rregull i shkruar për përcjellje IP të rrugëzuar nuk zbatohet automatikisht për kornizat e urës.

Kontrolloni çfarë mbështet platforma në të vërtetë përpara se të premtoni një kufi:

bridge link show
nft list ruleset

TUN dhe TAP përshkruajnë trafikun e ndërfaqes, jo shifrimin. Ndryshimi i ndërfaqeve nuk rregullon asgjë nga kjo: vërtetimi i partnerëve, një çelës i vjedhur dhe një politikë kriptografie e vjetruar të gjitha i mbijetojnë ndryshimit. Të dy skajet ende kanë nevojë për cilësime që përputhen dhe që ende mbështeten.

Provoni kufirin me tre përpjekje

Pranimi është tre vëzhgime, jo një rishikim diagrami. Operacioni i kërkuar duhet të funksionojë, një destinacion i palidhur duhet të dështojë, dhe vetë shërbimet e menaxhimit të portës duhet të mbeten jashtë arritjes.

Ekzekutoni shtegun e lejuar dhe atë të refuzuar nga i njëjti klient, dhe regjistroni të dyja:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Për një urë, shtoni kontrollet në nivel lidhjeje: nëse kalon trafiku i zbulimit i lejuar, nëse adresimi vjen nga autoriteti i synuar dhe nëse pjesëmarrësi i përkohshëm është larguar pas heqjes. Kur IP i rrugëzuar i thjeshtë tashmë e plotëson kërkesën, hyrja në segmentin Ethernet të zyrës kërkon një arsyetim të veçantë, dhe ai duhet të shkruhet përpara ndryshimit.