Uzaq giriş müştərisi filial şlüzü rolunu oynamalı olduqda

VPN-ə qoşulmuş noutbuk baş qərargaha çata bilir. Eyni masadakı printer və fayl serveri çata bilmir, çünki heç nə onların paketlərini o tunelə ötürmür və ya cavabları geri gətirmir. Müştərini filial şlüzünə çevirmək konfiqurasiya qərarından əvvəl marşrutlaşdırma və sahiblik qərarıdır. Qutudakı protokol adı bu rolun dəstəkləndiyini cavablandırmır.

Protokol etiketinin sizə demədiyi şey

OpenVPN bütöv alt şəbəkəni ötürən bir bağlayıcının yer aldığı saytlararası dizaynı sənədləşdirir və Access Server bunu şlüz rolu və açıq marşrutlaşdırma ilə həyata keçirir. SSL VPN kimi satılan başqa bir məhsul yalnız uzaq istifadəçi funksiyalarını təqdim edə bilər və müştərinin arxasındakı şəbəkəni elan etməyin dəstəklənən yolu yoxdur. Versiya da önəmlidir, çünki bir buraxılışdakı funksiya digəri barədə vəd deyil. Həqiqətən işlətdiyiniz tətbiqi oxuyun və başqa məhsul üçün yazılmış resepti dizayn deyil, işarə kimi qəbul edin.

Əvvəlcə həll edilməli sual VPN sahibinin ötürmə rolunu ümumiyyətlə dəstəkləyib-dəstəkləmədiyidir. Əgər dəstəkləmirsə, müştəri tərəfində heç bir marşrutlaşdırma onu dəstəklənən etmir.

Müqavilənin iki tərəfi var: filial və baş qərargah

Filial tərəfində ötürmə, filtrləmə və bərpa bir hosta aiddir. Hər filial cihazından məqsədli yol tələb olunur və xarici VPN bağlantısı tunel bağlı olsa da əsas şəbəkə üzərindən əlçatan qalmalıdır. Baş qərargah tərəfində kimsə filial alt şəbəkəsini təyin etməli, şlüzün kimliyini qəbul etməli və konkret resurslara icazə verməlidir. Nə bir yarısı tək işləyir.

Geri yol atlanan hissədir. Müştəri üçün tunel ünvanı onun arxasındakı alt şəbəkəni elan etmir, ona görə baş qərargah marşrutlaşdırıcılarına bu prefiks üçün VPN şlüzünə işarə edən marşrut lazımdır.

Marşrutlaşdırılmış dizaynda konsentrator filial prefiksi üçün paketləri ötürür və yuxarı LAN marşrutlaşdırması cavabları ora necə göndərəcəyini bilir. Tərcümə olunmuş dizaynda baş qərargahın gördüyü mənbə yenidən yazılır və bu, bir geri marşrutuna ehtiyacı aradan qaldıra bilər, eyni zamanda trafiki hansı filial maşınının göndərdiyini gizlədir. Bu güzəşt dizayn sənədinə aiddir, çünki tətbiq jurnalları və giriş qaydaları tərcümə işə düşəndə hər cihazın kimliyini itirir.

Marşrutlaşdırılmış, yoxsa tərcümə: geri yolu bilərəkdən seçin

Hər cihazın kimliyi və hər host siyasəti vacibdirsə və geri marşrutunu hər müvafiq marşrutlaşdırıcıda saxlaya bilirsinizsə, marşrutlaşdırılmışı seçin.

Marşrut əlavə edə bilmirsinizsə, amma baş qərargahın bir mənbə ünvanı görməsini qəbul edirsinizsə, tərcüməni seçin. Qarışıq dizaynlar mövcuddur və düşünmək daha çətindir, ona görə hansı prefikslərin marşrutlaşdırıldığını, hansıların tərcümə olunduğunu yazın. Sonra seçimi tunel statusuna etibar etmək əvəzinə hər iki tərəfdə tutma ilə yoxlayın.

Faydalı yoxlama asimmetrikdir: filial cihazından resurs tələb edin, sonra cavabın baş qərargahdan filial prefiksinə doğru getdiyini təsdiqləyin. traceroute -n 10.60.4.20 baş qərargah hostundan bu yolun VPN şlüzündən keçib-keçmədiyini göstərir.

İnfrastruktur kimi idarə edin, giriş kimi deyil

Şlüzün heç kim daxil olmamış necə başladığını, kimlik doğruladığını, yeniləndiyini və bərpa olunduğunu qərarlaşdırın. Etimadnamənin yenilənməsi, çoxfaktorlu sorğular, yuxu davranışı və filial girişi itirdikdə kimin cavab verdiyi hamısı əməliyyat suallarına çevrilir. Bir şəbəkə yolunu paylaşan bir neçə nəfər şlüz istifadəçisinin şəxsi imtiyazlarını miras almamalıdır, ona görə resurs avtorizasiyası, jurnal əhatəsi və nasazlıq siyasəti adlı sahibə ehtiyac duyur. Hər cihazın qeydiyyatından yayınmaq üçün hesab paylaşmaq dizayn deyil.

Bu quruluşu dəstəklənən sayt şlüzü ilə eyni tələblər altında müqayisə edin, sonra qərar verin. Köhnə masaüstünü təkrar istifadə etmək texniki xidmət və ya bərpa işini aradan qaldırmır, ikinci əl qiyməti isə əməliyyat xərcini təsvir etmir.

Nəzərdə tutulan filial tətbiqlərini, onların geri trafikini və bir rədd edilmiş təyinatı təsdiqlənmiş plan çərçivəsində yoxlayın. Uğur adlı filial kimliyi və açıq siyasəti olan sahibli şəbəkə xidmətinə bənzəyir, Qoşuldu yazan müştəri pəncərəsinə deyil.