Ba cách làm việc trên nhiều VPN mà không nhầm lẫn

Hai đường hầm khách hàng, một máy tính xách tay và một thẻ trình duyệt vẫn đăng nhập ở nơi không nên có. Phần khó của việc làm việc qua nhiều mạng riêng không phải là kết nối; mà là biết cửa sổ thuộc ngữ cảnh nào khi bạn chuyển đổi. Một không gian làm việc trả lời câu hỏi đó: một danh tính, một bộ ứng dụng, một chính sách trình phân giải và một nơi để nhìn khi có gì đó được phân giải sai. Vào một ngày tồi tệ, đó là khác biệt giữa một bản sửa năm phút và một vụ rò rỉ dữ liệu.

Quyết định xem công việc có đồng thời không

Nếu câu trả lời là không, hãy dừng ở đây và dùng cách bố trí đơn giản nhất hiện có. Một kết nối được phê duyệt tại một thời điểm, được kết nối và ngắt qua ứng dụng khách sở hữu hồ sơ, loại bỏ toàn bộ một lớp lỗi trước khi bất kỳ lỗi nào có thể xảy ra.

Chính tính đồng thời làm tăng chi phí: tiền tố chồng lấn, hai chính sách trình phân giải và hai bộ trạng thái ứng dụng phải được tách ra có chủ đích, không phải bằng thời gian.

Hãy viết yêu cầu một cách trung thực, vì muốn tránh kết nối lại không giống với việc cần cả hai mạng cùng lúc.

Tuần tự là cách bố trí rẻ nhất

Công việc tuần tự không cần thêm hạ tầng, và chế độ hỏng của nó là một phiên cũ chứ không phải xung đột định tuyến. Kỷ luật nằm ở bàn giao: hoàn tất thao tác, đóng thứ đang giữ kết nối, ngắt kết nối và xác nhận kết nối tiếp theo trước khi bắt đầu làm việc.

Một thẻ trình duyệt hoặc terminal còn mở không mang theo ngữ cảnh mạng của nó. Yêu cầu tiếp theo của nó đi đến nơi máy đang định tuyến lúc này, có thể là khách hàng kia.

Gắn nhãn hồ sơ theo khách hàng thay vì theo giao thức, và giữ chủ sở hữu thông tin xác thực hiển thị trong tên hồ sơ. Một hồ sơ tên work2 không nói với ai bất cứ điều gì vào lúc chuyển đổi vội vàng.

Ưu điểm của cách bố trí này là có thể kiểm toán. Ở mọi thời điểm chỉ có một ngữ cảnh mạng, và nhật ký cho thấy khi nào nó thay đổi.

Một không gian làm việc cho mỗi khách hàng tốn chi phí cô lập

Một máy ảo hoặc môi trường phát triển từ xa cho mỗi khách hàng đặt ứng dụng khách, các ứng dụng và tên vào một chỗ. Việc chuyển đổi trở thành chuyển cửa sổ thay vì chuyển mạng, và hai ngữ cảnh không thể rò rỉ vào nhau qua một tuyến đường lạc.

Điều đó không miễn phí. Bây giờ bạn duy trì hai hoặc ba hệ thống, vá chúng và quyết định nơi lưu trữ tệp và thông tin xác thực. Máy ảo cũng ra internet qua máy chủ, nên đường đi bên ngoài của nó vẫn là đường đi của máy tính xách tay của bạn.

Kiểm tra xem ứng dụng khách và bất kỳ chính sách trạng thái thiết bị nào có cho phép môi trường đó không trước khi xây dựng thói quen quanh nó. Một ứng dụng khách từ chối chạy trong máy ảo là sự thật cần được phát hiện sớm.

Một cổng chung là hạ tầng

Một bộ định tuyến riêng mang lưu lượng được chọn biến vấn đề thành thiết kế mạng. Nó hoạt động tốt khi nhiều người cần cùng một mạng khách hàng, và thất bại khi ai đó coi nó như một chiếc hộp ma thuật giữ mọi khách hàng tách biệt.

Một cổng chuyển đường hầm đang hoạt động của nó là một ngữ cảnh chia sẻ duy nhất có hàng đợi, không phải nhiều mạng độc lập. Hãy nêu rõ ai được phép thay đổi nó, nó phục vụ những nguồn nào và điều gì xảy ra khi hai người cần khách hàng khác nhau cùng lúc. Không có câu trả lời đó, cổng trở thành nguồn gián đoạn mà không ai sở hữu. Nó cũng trở thành nơi ai đó lặng lẽ tắt một kiểm tra để kịp thời hạn.

Viết bàn giao vào một bản ghi

Bản ghi không cần tinh vi; nó cần đủ cụ thể để người khác có thể theo. Trên Linux, không gian tên là phiên bản kỹ thuật của cùng ý tưởng đó, với giao diện và bảng định tuyến riêng.

Các lệnh này tạo một không gian tên, chạy lệnh bên trong nó và hiển thị những kết nối mà ứng dụng khách màn hình đang giữ:

sudo ip netns add customer-a
sudo ip netns exec customer-a ip route
nmcli connection show --active

Các ứng dụng vẫn phải được khởi chạy bên trong không gian tên, và cấu hình trình phân giải trong đó là một tệp riêng. Cô lập giao diện không cô lập clipboard, tác nhân SSH hay một chia sẻ được gắn, và đó là những rò rỉ mà người ta quên.

Chọn cách bố trí nhỏ nhất giữ được sự tách biệt bạn thực sự cần, và giữ cho quá trình chuyển đổi hiển thị: tiêu đề cửa sổ, dấu nhắc terminal, tên hồ sơ và chủ sở hữu thông tin xác thực đều phải khớp trước khi gửi bất kỳ yêu cầu riêng tư nào.