VPN định tuyến hay bắc cầu: chọn theo thứ mà máy khách phải chạm tới

Hai phiếu yêu cầu đến cùng ngày: một người dùng cần ứng dụng web nội bộ, và một kỹ sư cần thiết bị bàn thử hoạt động như thể nó nằm trên cùng phân đoạn Ethernet. Cả hai đều được trả lời bằng đặt chúng lên VPN, và đó là nơi rắc rối bắt đầu. Một đường hầm định tuyến và một đường hầm bắc cầu mở rộng những quan hệ khác nhau, và chỉ một trong hai phù hợp với mỗi yêu cầu. Chọn cấu trúc liên kết là quyết định truy cập, không phải thiết lập mật mã.

Hai yêu cầu trông giống nhau ở quầy phiếu

Yêu cầu của nhân viên là một dịch vụ, có thể chạm tới qua IP, từ thiết bị mà bạn không kiểm soát. Yêu cầu của kỹ sư nằm ở mức liên kết: thiết bị mong thấy các khung Ethernet và phát hiện bằng quảng bá, và có thể cả DHCP từ phân đoạn mà nó tưởng mình đang ở.

Đó là những câu hỏi khác nhau, và trả lời cả hai bằng một cầu nối sẽ mở rộng quyền truy cập của nhân viên ra toàn bộ LAN văn phòng mà không có lý do.

Viết yêu cầu thành một câu trước khi chọn: những đích nào, những giao thức nào và những đối tác nào phải trông như cục bộ. Nếu câu trả lời là một máy chủ và một cổng, định tuyến bao trùm điều đó. Nếu câu trả lời là quan hệ mức khung với các thiết bị chỉ nói bằng quảng bá, bắc cầu có thể là lựa chọn duy nhất. Mọi thứ ở giữa xứng đáng có một phân đoạn thử nghiệm thay vì LAN sản xuất.

Một tuyến hẹp hơn tư cách thành viên LAN

Máy khách định tuyến nhận một địa chỉ trên mạng con đường hầm và các tuyến cho những tiền tố bạn chọn. Nó có thể chạm tới máy chủ ứng dụng và không gì khác, nếu chính sách nói vậy. Cổng trở thành điểm thực thi, miễn là mọi đường đi liên quan đều đi qua nó.

Đừng nhầm một tuyến với một quyền. Nói cho máy khách cách chạm tới một mạng con không ngăn nó thử một đích khác.

Áp dụng kiểm soát truy cập ở nơi nó thực sự có thể thực thi luồng, và giữ nguyên quyền của chính ứng dụng. Một quy tắc chuyển tiếp rộng hoặc một giao diện thứ hai bị bỏ quên có thể cấp nhiều hơn sơ đồ gợi ý. Hãy đọc các quy tắc hiệu lực, không phải các quy tắc dự định. Rồi thử một đích lẽ ra phải thất bại, vì một chính sách mà chưa ai thử vi phạm chỉ là giả thuyết.

Một cây cầu thay đổi câu hỏi về việc kết nạp

Bắc cầu kết hợp một giao diện vật lý và một thiết bị TAP thành một bộ chuyển mạch phần mềm, nên các thiết bị từ xa gia nhập cùng miền quảng bá. Đó là một năng lực thật và một rủi ro thật: thiết bị từ xa không còn là khách định tuyến, nó là người tham gia.

Quyết định thiết bị nào được gia nhập, những loại khung nào phải đi qua và nơi tương tác không mong muốn bị chặn. Địa chỉ hóa và thẩm quyền DHCP trở thành một phần của mạng chia sẻ, và hai máy chủ DHCP trên một phân đoạn tạo ra đúng mớ hỗn độn mà bạn mong đợi.

Với thiết bị này, một phân đoạn thử nghiệm chuyên dụng thường phù hợp hơn LAN văn phòng. Giữ truy cập quản trị bên ngoài thử nghiệm, và xác định cách loại bỏ người tham gia tạm thời khi công việc kết thúc.

Lọc tồn tại trong cả hai cấu trúc liên kết

Một cây cầu không mặc nhiên là không thể lọc, và một tuyến không mặc nhiên là an toàn. Lọc cầu trên Linux có các móc và cú pháp quy tắc riêng, và một quy tắc viết cho chuyển tiếp IP định tuyến không tự động áp dụng cho khung bắc cầu.

Kiểm tra nền tảng thực sự hỗ trợ gì trước khi hứa một ranh giới:

bridge link show
nft list ruleset

TUN và TAP mô tả lưu lượng của giao diện, không phải mật mã. Đổi giao diện không sửa được điều nào trong đó: xác thực đối tác, một khóa bị đánh cắp và một chính sách mật mã lỗi thời đều sống sót qua thay đổi. Cả hai đầu vẫn cần những thiết lập khớp nhau và vẫn được hỗ trợ.

Chứng minh ranh giới bằng ba lần thử

Chấp nhận là ba quan sát, không phải một buổi duyệt sơ đồ. Thao tác bắt buộc phải hoạt động, một đích không liên quan phải thất bại, và chính các dịch vụ quản trị của cổng phải nằm ngoài tầm với.

Chạy đường được phép và đường bị từ chối từ cùng một máy khách, và ghi lại cả hai:

curl -sS -o /dev/null -w "%{http_code}" http://10.20.0.10/health
ip route get 10.20.0.10
ip route get 10.30.0.5

Với một cây cầu, thêm các kiểm tra mức liên kết: lưu lượng phát hiện được phép có đi qua không, địa chỉ hóa có đến từ thẩm quyền dự định không, và người tham gia tạm thời đã biến mất sau khi loại bỏ chưa. Khi IP định tuyến thuần đã đáp ứng yêu cầu, việc gia nhập phân đoạn Ethernet của văn phòng cần một lý lẽ riêng, và nó phải được viết trước khi thay đổi.