Аддалены доступ ці VPN «сайт–сайт»: што падыходзіць?

Падарожны супрацоўнік і філіял патрабуюць розных тунэляў, і няправільны выбар дае рашэнне, якое працуе ў лабараторыі і адмаўляе ў першы панядзелак. Аддалены доступ злучае прыладу са шлюзам. «Сайт–сайт» злучае два шлюзы, якія ўяўляюць сабой сеткі. Пералік ніжэй вызначае, што менавіта апісвае патрабаванне.

Хто злучаецца і што стаіць за злучальнікам

Пры аддаленым доступе праграма на ноўтбуку або тэлефоне ўзводзіць тунэль, а шлюз правярае карыстальніка, прыладу або абодвух, перш чым выдаць адрас і маршруты. Пры «сайт–сайт» маршрутызатары, межсеткавыя экраны або хмарныя шлюзы ўсталёўваюць злучэнне, а прылады за імі выкарыстоўваюць звычайную маршрутызацыю замест кліента. Гэта розніца вызначае, каму належыць бяззбойнасць тунэля: прыладзе супрацоўніка ў першым выпадку, кіраванай прыладзе ў другім. Яна таксама вызначае, ці апісвае аўтэнтыфікацыя чалавека, ці сетку.

Спыніцеся тут, калі патрабаванне ў тым, каб кожная машына ў адным офісе дасягала іншага офіса без налады на кожнай прыладзе. Гэта «сайт–сайт», а куча ўваходаў аддаленага доступу — дрэнная замена.

Адрасацыя і зваротны шлях

Плануйце асобныя лакальныя і аддаленыя дыяпазоны. Два сайты могуць выкарыстоўваць адну і тую ж прыватную падсетку, і тады рашэнню патрэбна трансляцыя або перанумарацыя, перш чым маршрутызацыя стане адназначнай. Хатні маршрутызатар з тым жа дыяпазонам, што і галаўны офіс, стварае тую ж праблему для аднаго аддаленага супрацоўніка. Перавышэнне настолькі звычайнае, што яго праверка адносіцца да першай размовы.

Зваротны шлях не менш важны за зыходны. Сервер можа прыняць запыт і ўсё адно не мець маршруту назад у кліенцкую сетку.

Задакументуйце, які маршрутызатар ведае аддалены прэфікс, асабліва з хмарнымі сеткамі і некалькімі шлюзамі. Зялёная значок тунэля не можа адказаць, ці мае пункт прызначэння працоўны зваротны маршрут, і ping у адным кірунку таксама. Пры аддаленым доступе шлюз звычайна валодае маршрутам пула; пры «сайт–сайт» кожны прамежкавы маршрутызатар, які нясе прэфікс, павінен пагадзіцца. Трансляцыя можа хаваць адсутны маршрут, пакуль не зламаецца праграма, якая ўбудоўвае адрасы.

Выхад у інтэрнэт — асобнае рашэнне

Прыватная дасягальнасць не патрабуе, каб тунэль насіў публічны прагляд. Ці выходзіць звычайны вэб-трафік праз шлюз — другое рашэнне, якое прымаюць для кожнага праекта і запісваюць у профіль кліента або ў канфігурацыю сайта.

Поўны і раздзелены тунэлі — гэта адказы на тое пытанне, а не на пытанне «аддалены доступ супраць сайт–сайт». Унутраныя імёны патрабуюць адпаведнага DNS у абодвух рашэннях, бо публічны рэзалвер не мае адказу для імя прыватнага офіснага хоста. Штурханне рэзалвера і штурханне маршруту па змаўчанні — звязаныя налады, і змена адной без другой дае збоі, якія выглядаюць як праблемы DNS.

Выкарыстоўвайце тапалогію, каб звузіць няспраўнасць

Адзін вандроўны ноўтбук губляе доступ на кліенце, сваім уліковым запісе або лакальнай сетцы. Цэлы філіял губляе доступ на агульных шляхах і шлюзах.

Спачатку праверце ўсталяванне тунэля, потым маршруты, потым дазволены трафік, потым развязанне імёнаў, потым уваход у праграму і спыніцеся на першым кроку, які не спрацаваў.ip route get 10.60.8.15 адказвае на пытанне маршрутызацыі, перш чым вы прачытаеце хоць адзін журнал праграмы. Налады шыфравання не выпраўляюць памылку правоў да сумеснага файла, а працоўны ping не даказвае, што праграма аўтарызавана. Захаванне парадку прадухіляе выпадковыя змены канфігурацыі, якія робяць з адной няспраўнасці тры.

Нарэшце, трымайце азначэнні дакладнымі, чытаючы матэрыялы пастаўшчыка: камерцыйны сервер выхаду ў інтэрнэт — гэта іншая паслуга, чым прыватны шлюз кампаніі, і ён не дае доступу да сеткі гэтай кампаніі.