Tre sätt att arbeta över flera VPN utan förvirring

Två kundtunnlar, en bärbar dator och en webbläsarflik som fortfarande är inloggad där den inte borde vara. Den svåra delen med att arbeta över flera privata nätverk är inte att ansluta; det är att veta vilken kontext ett fönster tillhör när du byter. En arbetsyta svarar på den frågan: en identitet, en uppsättning program, en resolverpolicy och en plats att titta på när något löses upp fel. På en dålig dag är det skillnaden mellan en femminutersrättelse och en dataläcka.

Avgör om arbetet är samtidigt

Om svaret är nej, stanna här och använd den enklaste tillgängliga ordningen. En godkänd anslutning i taget, ansluten och frånkopplad genom klienten som äger profilen, tar bort en hel klass av fel innan något av dem kan inträffa.

Det är samtidigheten som ökar kostnaden: överlappande prefix, två resolverpolicyer och två uppsättningar programtillstånd måste skiljas åt medvetet, inte av tid.

Skriv ned kravet ärligt, för att vilja undvika en återanslutning är inte samma sak som att behöva båda näten samtidigt.

Sekventiellt är den billigaste ordningen

Sekventiellt arbete behöver ingen extra infrastruktur, och dess felläge är en inaktuell session i stället för en routingkonflikt. Disciplinen ligger i överlämningen: slutför operationen, stäng det som håller en anslutning, koppla från och bekräfta nästa anslutning innan du börjar arbeta.

En webbläsarflik eller terminal som står öppen bär inte med sig sin nätverkskontext. Nästa begäran går dit maskinen nu routar, vilket kan vara den andra kunden.

Märk profiler efter kund i stället för efter protokoll, och håll ägaren av inloggningsuppgifterna synlig i profilnamnet. En profil som heter work2 säger ingen något i ögonblicket av ett hastigt byte.

Fördelen med den här ordningen är att den kan granskas. I varje ögonblick finns en nätverkskontext, och loggen visar när den ändrades.

En arbetsyta per kund kostar isolering

En virtuell maskin eller en extern utvecklingsmiljö per kund sätter klienten, programmen och namnen på ett ställe. Byten blir ett fönsterbyte i stället för ett nätverksbyte, och de två kontexterna kan inte läcka in i varandra genom en vilsegången rutt.

Det är inte gratis. Du underhåller nu två eller tre system, patchar dem och bestämmer var filer och inloggningsuppgifter bor. Den virtuella maskinen når också internet via värden, så dess yttre väg är fortfarande vägen till din bärbara dator.

Kontrollera att klienten och eventuell policy för enhetsstatus tillåter den miljön innan du bygger vanan kring den. En klient som vägrar köra i en virtuell maskin är ett faktum som bör upptäckas tidigt.

En delad gateway är infrastruktur

En separat router som bär utvald trafik gör problemet till en nätverksdesign. Det fungerar bra när flera personer behöver samma kundnätverk, och det misslyckas när någon behandlar den som en magisk låda som håller varje kund åtskild.

En gateway som byter sin aktiva tunnel är en enda delad kontext med en kö, inte flera oberoende nätverk. Namnge vem som får ändra den, vilka källor den betjänar och vad som händer när två personer behöver olika kunder samtidigt. Utan det svaret blir gatewayen en källa till avbrott som ingen äger. Den blir också platsen där någon tyst stänger av en kontroll för att hinna med en deadline.

Skriv överlämningen i en anteckning

Anteckningen behöver inte vara avancerad; den måste vara tillräckligt specifik för att någon annan ska kunna följa den. På Linux är ett namnområde den tekniska versionen av samma idé, med egna gränssnitt och egen routingtabell.

De här kommandona skapar ett namnområde, kör ett kommando i det och visar vilka anslutningar skrivbordsklienten har just nu:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Program måste fortfarande startas inne i namnområdet, och resolverkonfigurationen där inne är en egen fil. Att isolera gränssnitt isolerar inte urklipp, SSH-agenten eller en monterad delning, och det är de läckorna folk glömmer.

Välj den minsta ordning som bevarar den separation du faktiskt behöver, och håll övergången synlig: fönstertitel, terminalprompt, profilnamn och ägare av inloggningsuppgifterna bör alla stämma innan en privat begäran skickas.