بوابة VPN في Windows: ثلاث وظائف، ثلاثة مالكين

تتجمع ثلاث وظائف كلما قال أحدهم خادم VPN: إنهاء النفق المشفّر، ونقل الحزم بين الشبكات، وإعادة كتابة العناوين اختياريًا. في Windows تعيش هذه الوظائف في أجزاء مختلفة من المكدس، حتى عندما تؤديها آلة واحدة جميعًا. لكل منها مدخلاتها وطريقة فشلها الخاصة، و يمكن تسليم كل منها إلى منتج مختلف. فصلها على الورق هو أرخص طريقة لإبقاء نشر صغير مفهومًا.

التصميم المقروء يسمّي مالك كل تدفق بدلًا من وصف الآلة كدور.

أنهِ، حوّل، اكتب

يتولى RRAS إنهاء النفق في الحالة الأصلية لويندوز: يوثّق المستخدم، ويعيّن عنوانًا من مجمّع، ويقرر الوجهات المسموح بها. ويمكن لمنتج VPN آخر أن يملك المستمع والمهايئ الافتراضي بدلًا من ذلك، تاركًا لويندوز تحويل الحزم المفكوكة التشفير. تفصل وثائق Remote Access من مايكروسوفت أدوار VPN والموقع إلى الموقع والتوجيه، وتثبيت دور التوجيه لا ينشئ هوية VPN ثانية. كما أن إضافة تطبيق VPN آخر لا تمنح مهايئه لكل ميزة بوابة قائمة.

إعادة الكتابة هي الوظيفة الثالثة والأكثر اختيارية. تأتي بعد التحويل وتغيّر عنوان المصدر الذي تراه الشبكة البعيدة. وحاجتكم إليها تتوقف على ما ستقبله شبكة الوجهة كمصدر، لا على كون الآلة تسمى بوابة VPN.

من يملك المهايئ والمجمّع

عندما تتقاسم عدة منتجات المضيف، تحتاج أربعة أشياء إلى مالك واحد لكل منها: منافذ الاستماع، وعمر المهايئ، ومجمّع عناوين العملاء، والمسارات. المهايئ هو الأصعب، لأن خدمة VPN قد تنشئه ديناميكيًا وتدمّره عند الانقطاع. التعامل مع تلك الواجهة كبطاقة شبكة ذات اسم دائم وكتابة قواعد باسمها يعمل حتى إعادة الاتصال التالية. استخدموا نقطة التكامل المدعومة في المنتج بدلًا من ترميز اسم واجهة بشكل صلب.

مجمّع العناوين هو الاصطدام الثاني. منتجان يوزّعان نطاقات متداخلة ينتجان توجيهًا يبدو صحيحًا ولا يسلّم شيئًا. احتفظوا بالمجمّعات في الوثيقة نفسها مع المسارات، حتى يكون التغيير في أحدهما ظاهرًا مقابل الآخر.

حافِظ على المصدر أو أعد كتابته

الحفاظ على عنوان مصدر العميل يحتفظ بالرؤية لكل مستخدم: يمكن للسجلات والحصص وقواعد جدار الحماية التمييز بين مستخدم وآخر. الثمن هو أن شبكة الوجهة المحلية تحتاج مسار عودة نحو البوابة، وأن يحافظ عليه أحد. إعادة كتابة المصدر بـ NAT تزيل هذا الشرط وتزيل الرؤية معه. اختاروا بوعي واكتبوا المعلومات التي تخفيها إعادة الكتابة.

الوصول إلى الشبكة الخاصة، والخروج إلى الإنترنت، والاتصالات التي تنتهي على البوابة نفسها مسارات ثلاثة مختلفة. وليست كلها تحتاج المعالجة نفسها.

صِف التدفق بجملة واحدة

ينبغي أن تصف جملة واحدة التصميم: أي عملاء تقبل هذه الخدمة، وأي موارد تمنحها سياسة التحويل تلك، وكيف تكمل طريق العودة التدفق. وإذا احتاجت الجملة إلى طبقة NAT ثانية لتكون صحيحة، فذلك عادة علامة على أن الأجزاء السابقة لم تكن محسومة. المضيف أيضًا حدّ مشترك للفشل والثقة، لذا قد يؤثر تغيير التوجيه في وصول المستخدمين والإدارة معًا. احتفظوا بمسار استرداد مستقل للأخيرة.

احتفظوا بجرد الأدوار بجانب الإعداد: أي منتج ينهي، وأيها يحوّل، وأيها يعيد الكتابة، ومن يمكنه تغيير كل منها. تلك القائمة هي ما يجعل التغيير التالي قابلًا للمراجعة.

عندما تصبح الجملة غير واضحة، نادرًا ما توضحها طبقة تحويل أخرى. وإزالة طبقة واحدة تفعل ذلك عادة.