Wanneer ’n afstandtoegangskliënt as ’n takpoort moet optree

A skootrekenaar wat aan ’n VPN gekoppel is, kan hoofkwartier bereik. Die drukker en lêerbediener op dieselfde lessenaar kan nie, want niks stuur hul pakkette in daardie tonnel in of bring die antwoorde terug nie. Om die kliënt in ’n takpoort te omskep, is ’n routerings- en eienaarskapsbesluit voordat dit ’n konfigurasiebesluit is. Die protokolnaam op die boks antwoord nie of daardie rol ondersteun word nie.

Wat die protokoletiket jou nie vertel nie

OpenVPN dokumenteer ’n werf-tot-werf-ontwerp waarin ’n verbinding heel subnet deurstuur, en Access Server implementeer dit met ’n poortrol en eksplisiete routering. ’n Ander produk wat as ’n SSL VPN bemark word, bied dalk net afstandgebruikerfunksies, sonder enige ondersteunde manier om ’n netwerk agter die kliënt aan te kondig. Weergawe maak ook saak, want ’n funksie in een uitgawe is nie ’n belofte oor ’n ander nie. Lees die implementering wat jy werklik gebruik, en beskou ’n resep vir ’n ander produk as ’n wenk eerder as ’n ontwerp.

Die vraag wat eerste besleg moet word, is of die VPN-eienaar die deurstuurrol hoegenaamd ondersteun. Indien nie, maak geen hoeveelheid kliëntkant-routering dit ondersteun nie.

Die kontrak het twee kante: tak en hoofkwartier

Aan die takkant is dit een gasheer wat deurstuur, filtering en herstel besit. Dit het ’n doelbewuste pad vanaf elke taktoestel nodig, en die buitenste VPN-verbinding moet deur die onderliggende netwerk bereikbaar bly selfs terwyl die tonnel af is. Aan die hoofkwartierkant moet iemand die taksubnet definieer, die poort se identiteit aanvaar en spesifieke hulpbronne toelaat. Nie een helfte werk alleen nie.

Die terugpad is die deel wat oorgeslaan word. ’n Tonneladres vir die kliënt kondig nie die subnet daaragter aan nie, so hoofkwartier se routers het ’n roete nodig wat vir daardie voorvoegsel na die VPN-poort wys.

In ’n gerouteerde ontwerp stuur die konsentreerder pakkette vir die takvoorvoegsel deur, en die opstroom-LAN-routering weet hoe om antwoorde daarheen terug te stuur. In ’n vertaalde ontwerp word die bron wat hoofkwartier sien, herskryf, wat die behoefte aan een terugroete kan verwyder terwyl dit verberg watter takmasjien die verkeer gestuur het. Daardie afruil hoort in die ontwerpdokument, want toepassingslogboeke en toegangsreëls verloor per-toestel-identiteit sodra vertaling in spel kom.

Gerouteerd of vertaal: kies die terugpad doelbewus

Kies gerouteerd wanneer per-toestel-identiteit en per-gasheer-beleid saak maak en jy die terugroete op elke relevante router kan onderhou.

Kies vertaal wanneer jy nie roetes kan byvoeg nie, maar kan aanvaar dat hoofkwartier een bronadres sien. Gemengde ontwerpe bestaan en is moeiliker om te beredeneer, so skryf neer watter voorvoegsels gerouteer en watter vertaal word. Verifieer dan die keuse met ’n opname aan beide kante eerder as om die tonnelstatus te vertrou.

’n Nuttige toets is asimmetries: vra ’n hulpbron by ’n taktoestel aan en bevestig dan dat die antwoord hoofkwartier na die takvoorvoegsel verlaat. traceroute -n 10.60.4.20 vanaf ’n hoofkwartier-gasheer wys of daardie pad deur die VPN-poort gaan.

Bestuur dit soos infrastruktuur, nie ’n aanmelding nie

Besluit hoe die poort begin, authentiseer, opdateer en herstel sonder dat iemand aangemeld is. Hernuwing van geloofsbriewe, multifaktor-aanvaardings, slaapgedrag en wie reageer wanneer die tak toegang verloor, word almal operasionele vrae. Verskeie mense wat een netwerkpad deel, moet nie die poortgebruiker se persoonlike voorregte erf nie, so hulpbronmagtiging, logomvang en die foutbeleid het ’n genoemde eienaar nodig. Om ’n rekening te deel om per-toestel-inskrywing vry te spring, is nie ’n ontwerp nie.

Vergelyk die reëling met ’n ondersteunde werfpoort onder dieselfde vereistes voordat jy toewy. Om ’n ou rekenaar te hergebruik verwyder nie onderhouds- of herstelwerk nie, en die tweedehandse prys beskryf nie die bedryfskoste nie.

Valideer die beoogde taktoepassings, hul terugkeerverkeer en een geweierde bestemming onder ’n goedgekeurde plan. Sukses lyk soos ’n besitte netwerkdiens met ’n genoemde takidentiteit en ’n eksplisiete beleid, nie ’n kliëntvenster wat Koppel wys nie.