Yönlendirilmiş veya köprülenmiş VPN: istemcinin neye ulaşması gerektiğine göre seçin

Aynı gün iki talep gelir: bir kullanıcı dahili bir web uygulamasına ihtiyaç duyar, bir mühendis ise tezgâh cihazının aynı Ethernet segmentindeymiş gibi davranmasını ister. İkisine de VPN'e koyun diye yanıt verilir ve sorun tam burada başlar. Yönlendirilmiş tünel ile köprülenmiş tünel farklı ilişkiler kurar ve her isteğe yalnızca biri uyar. Topolojiyi seçmek bir erişim kararıdır, şifreleme ayarı değildir.

Talep masasında aynı görünen iki istek

Çalışanın gereksinimi, kontrolünüzde olmayan bir cihazdan IP üzerinden ulaşılabilen bir hizmettir. Mühendisin gereksinimi bağlantı düzeyindedir: cihaz Ethernet çerçeveleri ve yayınla keşif görmeyi bekler, ve belki de kendini içinde sandığı segmentten DHCP.

Bunlar farklı sorulardır ve ikisini de köprüyle yanıtlamak çalışanın erişimini sebepsiz yere tüm ofis LAN'ine genişletir.

Seçmeden önce gereksinimi tek cümleyle yazın: hangi hedefler, hangi protokoller ve hangi eşler yerel görünmeli. Yanıt bir ana bilgisayar ve bir port ise yönlendirme bunu kapsar. Yanıt yalnızca yayınla konuşan cihazlarla çerçeve düzeyinde bir ilişkiyse köprü tek seçenek olabilir. Aradaki her şey üretim LAN'i yerine bir test segmentini hak eder.

Bir yol, LAN üyeliğinden dardır

Yönlendirilmiş istemci tünel alt ağında bir adres ve seçtiğiniz önekler için yollar alır. Politika öyle diyorsa uygulama sunucusuna ulaşır ve başka hiçbir yere ulaşmaz. Ağ geçidi, ilgili her yolun ondan geçmesi koşuluyla uygulama noktası olur.

Yolu bir izinle karıştırmayın. Bir istemciye alt ağa nasıl ulaşacağını söylemek, başka bir hedefi denemesini engellemez.

Erişim denetimini akışı gerçekten uygulayabildiği yerde uygulayın ve uygulamanın kendi izinlerini yerinde tutun. Geniş bir yönlendirme kuralı veya unutulmuş ikinci arayüz diyagramın ima ettiğinden fazlasını verebilir. Amaçlanan kuralları değil, yürürlükteki kuralları okuyun. Sonra başarısız olması gereken bir hedefi test edin, çünkü kimsenin ihlal etmeye çalışmadığı bir politika yalnızca bir varsayımdır.

Köprü, kabul sorusunu değiştirir

Köprüleme, fiziksel arayüzü ve TAP cihazını bir yazılım anahtarında birleştirir, böylece uzak cihazlar aynı yayın alanına katılır. Bu gerçek bir yetenek ve gerçek bir risktir: uzak cihaz artık yönlendirilmiş bir konuk değil, katılımcıdır.

Hangi cihazların katılabileceğine, hangi çerçeve türlerinin geçmesi gerektiğine ve istenmeyen etkileşimin nerede engellendiğine karar verin. Adresleme ve DHCP yetkisi paylaşılan ağın parçası olur ve tek segmentteki iki DHCP sunucusu tam olarak beklediğiniz karışıklığı üretir.

Cihaz için ayrılmış bir test segmenti genellikle ofis LAN'inden daha uygundur. Yönetim erişimini deneyin dışında tutun ve iş bittiğinde geçici katılımcının nasıl kaldırılacağını tanımlayın.

Filtreleme her iki topolojide de vardır

Köprü doğası gereği filtre edilemez değildir ve yol doğası gereği güvenli değildir. Linux köprü filtrelemenin kendi kancaları ve kendi kural sözdizimi vardır ve yönlendirilmiş IP iletimi için yazılmış bir kural köprülenmiş çerçevelere otomatik olarak uygulanmaz.

Bir sınır vaat etmeden önce platformun gerçekte neyi desteklediğini denetleyin:

bridge link show
nft list ruleset

TUN ve TAP arayüzün trafiğini tanımlar, şifreyi değil. Arayüzleri değiştirmek bunlardan hiçbirini düzeltmez: eş kimlik doğrulaması, çalınmış bir anahtar ve eskimiş bir şifreleme politikası hepsi değişikliği atlatır. İki uç hâlâ birbirine uyan ve hâlâ desteklenen ayarlara ihtiyaç duyar.

Sınırı üç denemeyle kanıtlayın

Kabul üç gözlemdir, diyagram incelemesi değil. Gerekli işlem çalışmalı, ilgisiz bir hedef başarısız olmalı ve ağ geçidinin kendi yönetim hizmetleri erişilemez kalmalıdır.

Aynı istemciden izin verilen ve reddedilen yolu çalıştırın ve ikisini de kaydedin:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Bir köprü için bağlantı düzeyi denetimlerini ekleyin: izin verilen keşif trafiği geçiyor mu, adresleme amaçlanan yetkiden mi geliyor ve geçici katılımcı kaldırıldıktan sonra gitmiş mi. Basit yönlendirilmiş IP gereksinimi zaten karşılıyorsa ofis Ethernet segmentine katılmak ayrı bir gerekçe ister ve bu, değişiklikten önce yazılmalıdır.