Три способи працювати з кількома VPN без плутанини

Два клієнтські тунелі, один ноутбук і вкладка браузера, яка досі авторизована там, де не повинна. Складна частина роботи через кілька приватних мереж — не підключення; це знання того, якому контексту належить вікно під час перемикання. Робочий простір відповідає на це питання: одна особистість, один набір застосунків, одна політика резолвера й одне місце, куди дивитися, коли щось розв'язується неправильно. У поганий день це різниця між п'ятихвилинним виправленням і витоком даних.

Вирішіть, чи робота одночасна

Якщо відповідь ні, зупиніться тут і використайте найпростішу доступну схему. Одне затверджене підключення за раз, підключене й відключене через клієнт, який володіє профілем, усуває цілий клас збоїв, перш ніж будь-який із них може статися.

Саме одночасність підвищує вартість: перекривні префікси, дві політики резолвера й два набори стану застосунків треба розділяти навмисно, а не за часом.

Запишіть вимогу чесно, бо бажання уникнути перепідключення — не те саме, що потреба в обох мережах одночасно.

Послідовність — найдешевша схема

Послідовна робота не потребує додаткової інфраструктури, а її режим відмови — застаріла сесія, а не конфлікт маршрутизації. Дисципліна в передачі: завершіть операцію, закрийте те, що тримає підключення, від'єднайтеся й підтвердьте наступне підключення, перш ніж почати роботу.

Вкладка браузера або термінал, які лишаються відкритими, не переносять свій мережевий контекст. Їхній наступний запит іде туди, куди машина маршрутизує зараз, і це може бути інший клієнт.

Позначайте профілі за клієнтом, а не за протоколом, і тримайте власника облікових даних видимим в імені профілю. Профіль з іменем work2 нікому нічого не каже в момент поспішного перемикання.

Перевага цієї схеми в тому, що її можна перевірити. У кожен момент існує один мережевий контекст, і журнал показує, коли він змінився.

Робочий простір на клієнта коштує ізоляції

Віртуальна машина або віддалене середовище розробки на клієнта збирає клієнт, застосунки та назви в одному місці. Перемикання стає зміною вікна, а не зміною мережі, і два контексти не можуть протекти один в одний через заблуканий маршрут.

Це не безкоштовно. Тепер ви підтримуєте дві або три системи, ставите на них патчі й вирішуєте, де живуть файли й облікові дані. Віртуальна машина також виходить в інтернет через хост, тому її зовнішній шлях — досі шлях вашого ноутбука.

Перевірте, що клієнт і будь-яка політика стану пристрою дозволяють це середовище, перш ніж будувати на ньому звичку. Клієнт, який відмовляється працювати у віртуальній машині, — факт, який треба виявити рано.

Спільний шлюз — це інфраструктура

Окремий маршрутизатор, що несе вибраний трафік, перетворює проблему на проєктування мережі. Він добре працює, коли кільком людям потрібна та сама клієнтська мережа, і зазнає невдачі, коли хтось ставиться до нього як до чарівної скриньки, що тримає кожного клієнта окремо.

Один шлюз, що перемикає свій активний тунель, — це єдиний спільний контекст із чергою, а не кілька незалежних мереж. Назвіть, хто може його змінювати, яким джерелам він служить і що стається, коли двом людям одночасно потрібні різні клієнти. Без цієї відповіді шлюз стає джерелом простоїв, якими ніхто не володіє. Він також стає місцем, де хтось тихо вимикає перевірку, щоб устигнути до терміну.

Запишіть передачу в запис

Запис не мусить бути витонченим; він має бути достатньо конкретним, щоб інший міг його повторити. У Linux простір імен — технічна версія тієї самої ідеї, з власними інтерфейсами й таблицею маршрутизації.

Ці команди створюють простір імен, запускають у ньому команду й показують, які підключення зараз тримає клієнт робочого столу:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Застосунки досі треба запускати всередині простору імен, а конфігурація резолвера в ньому — окремий файл. Ізоляція інтерфейсів не ізолює буфер обміну, агент SSH або змонтований спільний ресурс, і саме ці витоки люди забувають.

Виберіть найменшу схему, що зберігає справді потрібний вам поділ, і тримайте перехід видимим: заголовок вікна, запрошення термінала, ім'я профілю й власник облікових даних мають збігатися, перш ніж буде надіслано будь-який приватний запит.