VPN-шлюз Windows: тры задачы, тры ўладальнікі

Тры функцыі аб’ядноўваюцца кожны раз, калі хтосьці кажа «сервер VPN»: завяршэнне зашыфраванага тунеля, перамяшчэнне пакетаў паміж сеткамі і, пры неабходнасці, перазапіс адрасоў. У Windows яны жывуць у розных частках стэка, нават калі адна машына выконвае ўсе тры. Кожная мае свае ўваходы і свой рэжым адмовы, і кожную можна перадаць іншаму прадукту. Падзяліць іх на паперы — самы танны спосаб захаваць зразумеласць невялікага разгортвання.

Чытэльны праект называе ўладальніка кожнага патоку, а не апісвае машыну як ролю.

Завяршыць, перадаць, пераўтварыць

RRAS абслугоўвае тунель у родным выпадку Windows: аўтэнтыфікуе карыстальніка, выдае адрас з пула і вырашае, якія прызначэнні дазволены. Іншы прадукт VPN можа замест гэтага валодаць слухачом і віртуальным адаптарам, пакінуўшы Windows перадачу расшыфраваных пакетаў. Дакументацыя Microsoft па Remote Access падзяляе ролі VPN, «сетка — сетка» і маршрутызацыі, і ўсталяванне ролі маршрутызацыі не стварае другой ідэнтычнасці VPN. Даданне яшчэ аднаго VPN-праграмы таксама не перадае яго адаптар усім існуючым функцыям шлюза.

Пераўтварэнне адрасоў — трэцяя і самая неабавязковая задача. Яно ідзе пасля перадачы і змяняе адрас крыніцы, які бачыць аддаленая сетка. Ці патрэбна яно вам, залежыць ад таго, што сетка прызначэння прыме як крыніцу, а не ад таго, што машыну называюць VPN-шлюзам.

Каму належаць адаптар і пул

Калі некалькі прадуктаў дзеляць хост, чатыром рэчам патрэбен па адным уладальніку: порты праслухоўвання, час жыцця адаптара, пул кліенцкіх адрасоў і маршруты. Адаптар — самы нязручны выпадак, бо служба VPN можа ствараць яго дынамічна і знішчаць пры адлучэнні. Стаўленне да гэтага інтэрфейсу як да пастаянна названай сеткавай карты і правілы, напісаныя супраць яго імя, працуюць да наступнага перападлучэння. Выкарыстоўвайце падтрымліваемую прадуктам кропку інтэграцыі, а не жорстка задавайце імя інтэрфейсу.

Пул адрасоў — другое сутыкненне. Два прадукты, якія выдаюць перакрыжаваныя дыяпазоны, ствараюць маршрутызацыю, якая выглядае правільнай і нічога не дастаўляе. Трымайце пулы ў тым жа дакуменце, што і маршруты, каб змена ў адным была бачная адносна іншага.

Захавайце крыніцу або перазапішыце яе

Захаванне адраса крыніцы кліента падтрымлівае бачнасць па карыстальніках: журналы, квоты і правілы брандмаўэра могуць адрозніваць аднаго карыстальніка ад іншага. Цана — мэтавай лакальнай сетцы патрэбен зваротны маршрут да шлюза, і хтосьці павінен яго падтрымліваць. Перазапіс крыніцы з дапамогай NAT прыбірае гэтае патрабаванне і прыбірае разам з ім бачнасць. Выбірайце свядома і запішыце, якую інфармацыю хавае перазапіс.

Доступ да прыватнай сеткі, выхад у інтэрнэт і злучэнні, якія завяршаюцца на самім шлюзе, — гэта тры розныя шляхі. Не ўсім патрэбны аднолькавы падыход.

Апішыце паток адным сказам

Адзін сказ павінен апісваць праект: якіх кліентаў дапускае гэтая служба, якія рэсурсы дае гэтая палітыка перадачы і як зваротны шлях завяршае паток. Калі сказу для праўдзівасці патрэбен другі ўзровень NAT, гэта звычайна прыкмета таго, што папярэднія часткі не былі вырашаны. Хост таксама з’яўляецца агульнай мяжой адмовы і даверу, таму змена маршрутызацыі можа закрануць і доступ карыстальнікаў, і адміністраванне. Для апошняга захавайце незалежны шлях аднаўлення.

Трымайце пералік роляў побач з канфігурацыяй: які прадукт завяршае, які перадае, які пераўтварае і хто можа змяніць кожны з іх. Менавіта гэты спіс робіць наступную змену праверальнай.

Калі сказ становіцца незразумелым, даданне яшчэ аднаго ўзроўню пераўтварэння рэдка яго праясняе. Выдаленне аднаго звычайна праясняе.