Калі кліент аддаленага доступу павінен выконваць ролю філіяльнага шлюза

Наўтбук, падключаны да VPN, можа дасягнуць галоўнага офіса. Прынтар і файлавы сервер на тым жа стале не могуць, бо нішто не перадае іх пакеты ў гэты тунэль і не вяртае адказы. Ператварэнне кліента ў філіяльны шлюз — гэта рашэнне аб маршрутызацыі і адказнасці перш за ўсё, а не рашэнне аб канфігурацыі. Назва пратакола на скрынцы не адказвае, ці падтрымліваецца гэтая роля.

Што этыкетка пратакола вам не скажа

OpenVPN апісвае праект сайт-сайт, у якім канэктар перадае цэлую падсетку, а Access Server рэалізуе гэта з роляй шлюза і яўнай маршрутызацыяй. Іншы прадукт, які прадаецца як SSL VPN, можа прапаноўваць толькі функцыі аддаленага карыстальніка, без падтрыманага спосабу абвясціць сетку за кліентам. Версія таксама мае значэнне, бо функцыя ў адным выпуску не абяцанне пра іншы. Чытайце рэалізацыю, якую вы сапраўды запускаеце, і лічыце рэцэпт, напісаны для іншага прадукту, падказкай, а не праектам.

Пытанне, якое трэба вырашыць першым, — ці падтрымлівае ўладальнік VPN ролю перадачы наогул. Калі не, ніякая маршрутызацыя на баку кліента не зробіць яе падтрыманай.

У дамовы два бакі: філіял і галоўны офіс

На баку філіяла адзін хост валодае перадачай, фільтрацыяй і аднаўленнем. Яму патрэбны прадуманы шлях ад кожнай прылады філіяла, а знешняе злучэнне VPN павінна заставацца дасягальным праз базавую сетку, нават калі тунэль не працуе. На баку галоўнага офіса хтосьці павінен вызначыць філіяльную падсетку, прыняць ідэнтычнасць шлюза і дазволіць канкрэтныя рэсурсы. Ні адна палова не працуе сама па сабе.

Зваротны шлях — гэта частка, якую прапускаюць. Адрас тунэлю для кліента не абвяшчае падсетку за ім, таму маршрутызатарам галоўнага офіса патрэбны маршрут, які паказвае на VPN-шлюз для гэтага прэфікса.

У маршрутызаваным праекце канцэнтратар перадае пакеты для філіяльнага прэфікса, а маршрутызацыя верхняга LAN ведае, як адпраўляць адказы назад. У перакладзеным праекце крыніца, якую бачыць галоўны офіс, перапісваецца, што можа зняць патрэбу ў адным зваротным маршруце, хаваючы пры гэтым, якая філіяльная машына адправіла трафік. Гэты кампраміс належыць дакументу праекта, бо журналы праграм і правілы доступу губляюць ідэнтычнасць кожнай прылады, калі ўключаецца пераклад.

Маршрутызавана ці перакладзена: выбірайце зваротны шлях свядома

Выбірайце маршрутызаваны варыянт, калі важныя ідэнтычнасць кожнай прылады і палітыка для кожнага хоста і вы можаце падтрымліваць зваротны маршрут на кожным адпаведным маршрутызатары.

Выбірайце перакладзены, калі вы не можаце дадаць маршруты, але гатовы прыняць, што галоўны офіс бачыць адзін адрас крыніцы. Змешаныя праекты існуюць і іх цяжэй абдумаць, таму запішыце, якія прэфіксы маршрутызаваныя, а якія перакладзеныя. Затым праверце выбар здымкам з абодвух бакоў, замест таго каб давяраць стану тунэлю.

Карысная праверка асіметрычная: запытайце рэсурс з прылады філіяла, затым пацвердзіце, што адказ пакідае галоўны офіс у кірунку філіяльнага прэфікса. traceroute -n 10.60.4.20 з хоста галоўнага офіса паказвае, ці праходзіць гэты шлях праз VPN-шлюз.

Эксплуатуйце гэта як інфраструктуру, а не як уваход у сістэму

Вырашыце, як шлюз запускаецца, аўтэнтыфікуецца, абнаўляецца і аднаўляецца, калі ніхто не ўвайшоў у сістэму. Абнаўленне ўліковых даных, шматфактарныя запыты, паводзіны пры сне і тое, хто рэагуе, калі філіял страчвае доступ, — усё гэта становіцца аперацыйнымі пытаннямі. Некалькі чалавек, якія дзеляць адзін сеткавы шлях, не павінны атрымліваць асабістыя прывілеі карыстальніка шлюза, таму аўтарызацыя рэсурсаў, абсяг журналавання і палітыка збояў патрабуюць названага ўладальніка. Агульны ўліковы запіс, каб пазбегнуць рэгістрацыі кожнай прылады, — гэта не праект.

Параўнайце гэтую схему з падтрыманым шлюзам сайта пры тых жа патрабаваннях, перш чым абавязацца. Паўторнае выкарыстанне старога кампутара не прыбірае працу па абслугоўванні і аднаўленні, а цана з другіх рук не апісвае эксплуатацыйныя выдаткі.

Праверце меркаваныя філіяльныя праграмы, іх зваротны трафік і адну забароненую мэту ў межах зацверджанага плана. Поспех выглядае як уласная сеткавая паслуга з названай ідэнтычнасцю філіяла і яўнай палітыкай, а не як акно кліента з надпісам Падключана.