VPN iliyoelekezwa au kwa daraja: chagua kulingana na kile ambacho mteja lazima afikie

Siku moja tikiti mbili zinafika: mtumiaji mmoja anahitaji programu ya wavuti ya ndani, na mhandisi mmoja anahitaji kifaa cha benchi kitende kana kwamba kiko kwenye sehemu hiyo hiyo ya Ethernet. Zote mbili zinajibiwa kwa ziweke kwenye VPN, na hapo ndipo shida inapoanza. Tuneli iliyoelekezwa na tuneli kwa daraja huenea mahusiano tofauti, na ni moja tu kati yao inayolingana na kila ombi. Kuchagua topolojia ni uamuzi wa ufikiaji, sio mpangilio wa kriptografia.

Maombi mawili yanayofanana mezani pa tikiti

Hitaji la mfanyakazi ni huduma, inayoweza kufikiwa kwa IP, kutoka kifaa usichokidhibiti. Hitaji la mhandisi ni katika ngazi ya kiungo: kifaa kinatarajia kuona fremu za Ethernet na ugunduzi wa matangazo, na labda DHCP kutoka sehemu inayodhani iko.

Haya ni maswali tofauti, na kujibu yote mawili kwa daraja hupanua ufikiaji wa mfanyakazi hadi LAN yote ya ofisi bila sababu.

Andika hitaji kama sentensi kabla ya kuchagua: ni maeneo gani, itifaki zipi na washirika gani wanapaswa kuonekana wa ndani. Ikiwa jibu ni mwenyeji na bandari, uelekezaji unashughulikia hilo. Ikiwa jibu ni uhusiano wa ngazi ya fremu na vifaa vinavyozungumza kwa matangazo tu, daraja linaweza kuwa chaguo pekee. Kitu chochote katikati kinastahili sehemu ya majaribio badala ya LAN ya uzalishaji.

Njia ni nyembamba kuliko uanachama wa LAN

Mteja aliyeelekezwa hupokea anwani kwenye subnet ya tuneli na njia kwa viambishi awali unavyochagua. Anaweza kufikia seva ya programu na hakuna kingine, ikiwa ndivyo sera inavyosema. Lango huwa mahali pa utekelezaji, mradi kila njia inayohusika inapita ndani yake.

Usichanganye njia na ruhusa. Kumwambia mteja jinsi ya kufikia subnet hakumzuii kujaribu lengo lingine.

Tumia udhibiti wa ufikiaji mahali ambapo kwa kweli unaweza kutekeleza mtiririko, na uweke ruhusa za programu yenyewe mahali pake. Sheria pana ya upelekaji au kiolesura cha pili kilichosahaulika vinaweza kutoa zaidi ya inavyoonyesha mchoro. Soma sheria zinazotumika, sio zilizokusudiwa. Kisha jaribu lengo ambalo linapaswa kushindwa, kwa sababu sera ambayo hakuna aliyajaribu kuivunja ni dhana tu.

Daraja hubadilisha swali la kuingia

Ujenzi wa daraja unachanganya kiolesura halisi na kifaa cha TAP kuwa swichi ya programu, kwa hivyo vifaa vya mbali hujiunga na kikoa hicho hicho cha matangazo. Hiyo ni uwezo halisi na hatari halisi: kifaa cha mbali si mgeni aliyeelekezwa tena, ni mshiriki.

Amua ni vifaa gani vinaweza kujiunga, ni aina gani za fremu zinapaswa kupita na wapi mwingiliano usiotakiwa unazuiwa. Anwani na mamlaka ya DHCP huwa sehemu ya mtandao unaoshirikiwa, na seva mbili za DHCP kwenye sehemu moja huzalisha fujo ile ile unayotarajia.

Kwa kifaa, sehemu maalum ya majaribio kwa kawaida inafaa zaidi kuliko LAN ya ofisi. Weka ufikiaji wa usimamizi nje ya jaribio, na eleza jinsi mshiriki wa muda anavyoondolewa kazi inapokamilika.

Uchujaji upo katika topolojia zote mbili

Daraja si lazima lisiweze kuchujwa, na njia si lazima iwe salama. Uchujaji wa madaraja katika Linux una ndoano zake na sintaksia yake ya sheria, na sheria iliyoandikwa kwa upelekaji wa IP ulioelekezwa haitumiki kiotomatiki kwa fremu za daraja.

Angalia kile jukwaa linasaidia kweli kabla ya kuahidi mpaka:

bridge link show
nft list ruleset

TUN na TAP zinaelezea trafiki ya kiolesura, sio siri. Kubadilisha violesura hakurekebishi chochote kati ya hivyo: uthibitishaji wa washirika, ufunguo ulioibiwa na sera ya kriptografia iliyopitwa na wakati vyote hushinda mabadiliko. Pande zote mbili bado zinahitaji mipangilio inayolingana na ambayo bado inasaidiwa.

Thibitisha mpaka kwa majaribio matatu

Kukubalika ni uchunguzi matatu, sio ukaguzi wa mchoro. Operesheni inayohitajika lazima ifanye kazi, lengo lisilohusiana lazima lishindwe, na huduma za usimamizi za lango yenyewe lazima zibaki bila kufikiwa.

Endesha njia inayoruhusiwa na ile iliyokataliwa kutoka kwa mteja mmoja, na urekodi zote mbili:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Kwa daraja, ongeza ukaguzi wa ngazi ya kiungo: ikiwa trafiki ya ugunduzi inayoruhusiwa inapita, ikiwa anwani zinatoka kwa mamlaka iliyokusudiwa, na ikiwa mshiriki wa muda ameondoka baada ya kuondolewa. Wakati IP iliyoelekezwa ya kawaida tayari inakidhi hitaji, kujiunga na sehemu ya Ethernet ya ofisi kunahitaji uhalali tofauti, na inapaswa kuandikwa kabla ya mabadiliko.