Windows-VPN-gateway: drie take, drie eienaars

Drie funksies word saamgegooi wanneer iemand van ’n VPN-bediener praat: die versleutelde tonnel beëindig, pakkette tussen netwerke deurstuur en opsioneel adresse herskryf. Op Windows woon hulle in verskillende dele van die stapel, selfs wanneer een masjien al drie doen. Elkeen het sy eie insette en sy eie foutmodus, en elkeen kan aan ’n ander produk gegee word. Om hulle op papier te skei is die goedkoopste manier om ’n klein ontplooiing verstaanbaar te hou.

’n Leesbare ontwerp noem die eienaar van elke vloei in plaas daarvan om die masjien as ’n rol te beskryf.

Beëindig, stuur deur, herskryf

RRAS hanteer die tonnel vir die Windows-inheemse geval: dit verifieer die gebruiker, ken ’n adres uit ’n poel toe en besluit watter bestemmings toegelaat word. ’n Ander VPN-produk kan eerder die luisteraar en die virtuele adapter besit, en Windows net die ontsleutelde pakkette laat deurstuur. Microsoft se dokumentasie oor Remote Access skei VPN-, site-to-site- en roeteverantwoordelikhede, en die installering van die roete-rol skep nie ’n tweede VPN-identiteit nie. Om nog ’n VPN-toepassing by te voeg gee ook nie sy adapter aan elke bestaande gateway-funksie nie.

Herskrywing is die derde en mees opsionele taak. Dit kom ná deurstuur en verander die bronadres wat die verre netwerk sien. Of jy dit nodig het, hang af van wat die bestemmingsnetwerk as bron sal aanvaar, nie daarvan dat die masjien ’n VPN-gateway genoem word nie.

Wie besit die adapter en die poel

Wanneer verskeie produkte die gasheer deel, het vier dinge elkeen ’n enkele eienaar nodig: luisterpoorte, die adapter se leeftyd, die kliëntadrespoel en roetes. Die adapter is die lastige een, want ’n VPN-diens kan dit dinamies skep en by ontkoppeling vernietig. Om daardie koppelvlak as ’n permanent benoemde netwerkkaart te behandel en reëls teen sy naam te skryf, werk tot die volgende herverbinding. Gebruik die produk se ondersteunde integrasiepunt eerder as om ’n koppelvlaknaam hard te kodeer.

Die adrespoel is die tweede botsing. Twee produkte wat oorvleuelende reekse uitdeel, lewer roetering wat korrek lyk en niks aflewer nie. Hou die poele in dieselfde dokument as die roetes, sodat ’n verandering aan die een teen die ander sigbaar is.

Bewaar die bron of herskryf dit

Om die kliënt se bronadres te bewaar, hou sigbaarheid per gebruiker: logs, kwotas en firewall-reëls kan die een gebruiker van die ander onderskei. Die prys is dat die bestemmings-LAN ’n terugroete na die gateway nodig het, en iemand moet dit onderhou. Om die bron met NAT te herskryf verwyder daardie vereiste en verwyder ook die sigbaarheid. Kies doelbewus en skryf neer watter inligting die herskrywing verberg.

Toegang tot private netwerke, internet-uitgang en verbindings wat op die gateway self eindig, is drie verskillende paaie. Hulle het nie almal dieselfde behandeling nodig nie.

Beskryf die vloei in een sin

Een sin moet die ontwerp beskryf: watter kliënte hierdie diens toelaat, watter hulpbronne daardie deurstuurbeleid verleen, en hoe die terugpad die vloei voltooi. As die sin ’n tweede NAT-laag nodig het om waar te wees, is dit gewoonlik ’n teken dat die vroeëre stukke nie afgehandel is nie. Die gasheer is ook ’n gedeelde fout- en vertrouensgrens, so ’n roeteverandering kan beide gebruikerstoegang en administrasie raak. Hou ’n onafhanklike herstelpad vir laasgenoemde.

Hou ’n rolle-inventaris langs die konfigurasie: watter produk beëindig, watter stuur deur, watter herskryf, en wie elkeen kan verander. Daardie lys is wat die volgende verandering hersienbaar maak.

Wanneer die sin onduidelik word, maak nog ’n herskrywingslaag dit selde duideliker. Om een te verwyder, doen dit gewoonlik.