Marshrutlangan yoki ko’prikli VPN: mijoz nimaga yetib borishi kerakligiga qarab tanlang

Bir kunda ikkita chipta keladi: bir foydalanuvchiga ichki veb-ilova kerak, bir muhandisga esa stend asbobi xuddi o’sha Ethernet segmentida turgandek ishlashi kerak. Ikkalasiga ham ularni VPN ga qo’ying deb javob beriladi va muammo aynan shu yerda boshlanadi. Marshrutlangan tunnel va ko’prikli tunnel turli munosabatlarni yoyadi va har bir so’rovga ulardan faqat bittasi mos keladi. Topologiyani tanlash kirish bo’yicha qaror, kriptografiya sozlamasi emas.

Chipta stolida bir xil ko’rinadigan ikkita so’rov

Xodimning talabi bu xizmat, IP orqali yetib borish mumkin, siz nazorat qilmaydigan qurilmadan. Muhandisning talabi bog’lanish darajasida: asbob Ethernet kadrlarini va translyatsiya orqali aniqlashni ko’rishni kutadi, va ehtimol o’zini deb hisoblagan segmentdan DHCP.

Bular turli savollar va ikkalasiga ham ko’prik bilan javob berish xodimning kirishini sababsiz butun ofis LAN ga kengaytiradi.

Tanlashdan oldin talabni bitta gapda yozing: qaysi manzillar, qaysi protokollar va qaysi hamkorlar mahalliy ko’rinishi kerak. Agar javob host va port bo’lsa, marshrutlash buni qoplaydi. Agar javob faqat translyatsiyada gaplashadigan qurilmalar bilan kadr darajasidagi munosabat bo’lsa, ko’prik yagona variant bo’lishi mumkin. O’rtadagi har qanday narsa ishlab chiqarish LAN o’rniga sinov segmentiga loyiq.

Marshrut LAN a’zoligidan tor

Marshrutlangan mijoz tunnel quyi tarmog’ida manzil va siz tanlagan prefikslar uchun marshrutlar oladi. Agar siyosat shunday desa, u ilova serveriga yetib boradi va boshqa hech qayerga yetmaydi. Shlyuz qo’llash nuqtasiga aylanadi, har bir tegishli yo’l undan o’tishi shart.

Marshrutni ruxsat bilan aralashtirmang. Mijozga quyi tarmoqqa qanday yetib borishni aytish uni boshqa manzilni sinab ko’rishdan to’xtatmaydi.

Kirish nazoratini oqimni haqiqatan ta’minlay oladigan joyda qo’llang va ilovaning o’z ruxsatlarini joyida saqlang. Keng yo’naltirish qoidasi yoki unutilgan ikkinchi interfeys diagramma ko’rsatganidan ko’proq narsa berishi mumkin. Amaldagi qoidalarni o’qing, ko’zda tutilganlarini emas. So’ngra muvaffaqiyatsiz bo’lishi kerak bo’lgan manzilni sinang, chunki hech kim buzishga urinmagan siyosat faqat farazdir.

Ko’prik qabul savolini o’zgartiradi

Ko’priklash jismoniy interfeys va TAP qurilmasini dasturiy kommutatorga birlashtiradi, shuning uchun uzoq qurilmalar bir xil translyatsiya domeniga qo’shiladi. Bu haqiqiy imkoniyat va haqiqiy xavf: uzoq qurilma endi marshrutlangan mehmon emas, u ishtirokchi.

Qaysi qurilmalar qo’shilishi mumkinligini, qaysi kadr turlari o’tishi kerakligini va keraksiz o’zaro ta’sir qayerda bloklanishini hal qiling. Manzillash va DHCP vakolati umumiy tarmoqning qismiga aylanadi va bitta segmentdagi ikkita DHCP server siz kutgan tartibsizlikni yuzaga keltiradi.

Asbob uchun odatda ofis LAN idan ko’ra alohida sinov segmenti mos keladi. Boshqaruv kirishini tajribadan tashqarida saqlang va ish tugagach vaqtinchalik ishtirokchi qanday olib tashlanishini aniqlang.

Filtrlash ikkala topologiyada ham mavjud

Ko’prik o’z tabiatiga ko’ra filtrlanmaydigan emas va marshrut o’z tabiatiga ko’ra xavfsiz emas. Linux ko’prik filtrlashning o’z ilgaklari va o’z qoidalar sintaksisi bor va marshrutlangan IP yo’naltirish uchun yozilgan qoida ko’priklangan kadrlarga avtomatik qo’llanilmaydi.

Chegara va’da qilishdan oldin platforma haqiqatan nimani qo’llab-quvvatlashini tekshiring:

bridge link show
nft list ruleset

TUN va TAP interfeys trafigini tasvirlaydi, shifrni emas. Interfeyslarni almashtirish bularning hech birini tuzatmaydi: hamkor autentifikatsiyasi, o’g’irlangan kalit va eskirgan kriptografik siyosat barchasi o’zgarishdan omon qoladi. Ikkala tomon ham hanuz mos keladigan va hanuz qo’llab-quvvatlanadigan sozlamalarga muhtoj.

Chegarani uchta urinish bilan isbotlang

Qabul uchta kuzatuv, diagrammani ko’rib chiqish emas. Kerakli amal ishlashi kerak, aloqasiz manzil muvaffaqiyatsiz bo’lishi kerak va shlyuzning o’z boshqaruv xizmatlari yetib bo’lmaydigan bo’lib qolishi kerak.

Ruxsat etilgan va rad etilgan yo’lni bir mijozdan ishga tushiring va ikkalasini ham yozib oling:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Ko’prik uchun bog’lanish darajasidagi tekshiruvlarni qo’shing: ruxsat etilgan aniqlash trafigi o’tadimi, manzillash ko’zda tutilgan vakolatdan keladimi va vaqtinchalik ishtirokchi olib tashlangandan keyin ketdimi. Oddiy marshrutlangan IP talabni allaqachon qondirsa, ofis Ethernet segmentiga qo’shilish alohida asos talab qiladi va u o’zgarishdan oldin yozilishi kerak.