SoftEther VPN Azure: مسار تمرير، لا منفذ مفتوح

خادمك يقف خلف موجه لا يمكنك تهيئته، لذا فإن الخطة البديهية لإعادة توجيه منفذ غير متاحة. VPN Azure موجودة تحديدًا لهذه الحالة، وتحلها بعكس اتجاه الاتصال الأول: يتصل الخادم صادرًا إلى مُمرِّر، ويصل العملاء إلى المُمرِّر بدلًا من الخادم. وفهم هذا العكس يفسّر ما تصلحه الخدمة وكل حد ستصطدم به لاحقًا.

ما الذي يتغير في المسار

مع مستمع تقليدي، يفتح العميل اتصال TCP إلى عنوان عام يمرره الموجه إلى الخادم. مع المُمرِّر، يحتفظ الخادم باتصال صادر إلى بنية المُمرِّر التحتية، ويقبل المُمرِّر اتصالات العملاء ويمرر حمولتها إلى الخادم المنتظر. لا يُفتح أي منفذ وارد، ولا يُطلب عنوان ثابت، ويبقى الموجه دون مساس. من منظور جدار الحماية، الخادم عميل صادر عادي، ولهذا تسمح به الشبكات المقيّدة.

يمنح المُمرِّر ذلك الخادم اسمًا على نطاقه الخاص، وتُهيأ العملاء للاتصال هناك.

ذلك الاسم مملوك لخدمة المُمرِّر، وهي ليست بوابة Microsoft Azure VPN Gateway رغم أن كليهما يُسمى Azure شيئًا. التعامل معهما على أنهما قابلان للتبادل ينتج تهيئة لا يمكن أن تعمل.

أي البروتوكولات تنجو عبر المُمرِّر

ينقل المُمرِّر بروتوكول SoftEther، ويوثّق المشروع SSTP كخيار للعميل، وهو مفيد لأن Windows يأتي معه عميل SSTP. لكنه لا يصبح ناقلًا عامًا لكل مستمع على المضيف: يحتاج مستمع OpenVPN ومستجيب IPsec وخدمة L2TP كلٌّ إلى نقطة طرفية يمكن الوصول إليها، ولا يُنقل أي منها عبر المُمرِّر لمجرد أن خادم SoftEther متصل.

لذلك تشير ملفات تعريف العملاء إلى اسم المُمرِّر بدلًا من عنوان الخادم، ولن يعمل ملف تعريف قائم مبني لاتصال مباشر دون تغيير. راجع قائمة العملاء المدعومين للإصدار الذي تشغله قبل التصميم حول بروتوكول لا ينقله المُمرِّر.

ما لا يفعله المُمرِّر نيابة عنك

المُمرِّر ناقل. لا ينشئ مستخدمين أو محاور افتراضية أو سياسات وصول أو مسارات، ولا يعرف شيئًا عن الشبكات الخاصة خلف خادمك. إذا كان على العملاء البعيدين الوصول إلى شبكة فرعية LAN، فسيظل الخادم بحاجة إلى تهيئة الجسر أو التوجيه، ومسار العودة، وسياسة جدار الحماية التي تجعل ذلك ممكنًا. خطط العنونة المتداخلة في الطرفين غير مرئية للمُمرِّر أيضًا وتبقى مشكلتك أنت لحلها.

إعدادات الأمان المدعومة أيضًا متروكة لك. تتضمن وثائق المشروع أمثلة لمنصات أقدم، ونسخ إعدادات تشفير أو شهادات قديمة من لقطة شاشة قديمة طريقة جيدة لبناء نفق لا يستطيع أحد تدقيقه. استخدم الإرشادات الحالية للإصدار الذي تشغله.

يبقى التحقق من الشهادات ومصادقة المستخدمين مسؤولية الخادم، ولا يحل المُمرِّر محل أي منهما أبدًا.

شغّله كتابعية

أصبحت الإتاحة تشمل طرفًا ثالثًا. عندما يتعذر الوصول إلى المُمرِّر، لا يستطيع العملاء الاتصال مهما كانت صحة خادمك، ويبدو العطل من الخارج كمشكلة عميل. راقب مسار المُمرِّر منفصلًا عن صحة الخادم، واحتفظ بخطة بديلة موثّقة مثل مستمع مباشر على عنوان آخر لليوم الذي يهم فيه ذلك.

تتبع الكمون جغرافية المُمرِّر بدلًا من قرب مستخدميك، وهو أمر يستحق القياس قبل الوعد بأداء تفاعلي عبره.

تحقق من هوية الخادم ثم من مسار تطبيق حقيقي، وليس فقط من لافتة اتصال ناجحة، وتحقق مما إذا كان المورد الذي تحتاجه يمكن الوصول إليه عبر عائلة العناوين التي ينقلها المُمرِّر. سجّل اسم المُمرِّر والبروتوكول المستخدم والخطة البديلة، لأن هذه الحقائق الثلاث تجيب عن معظم الأسئلة المستقبلية حول هذا الرابط.