Когато клиент за отдалечен достъп трябва да играе ролята на филиален шлюз

Лаптоп, свързан към VPN, може да достигне централата. Принтерът и файловият сървър на същото бюро не могат, защото нищо не препраща пакетите им в този тунел и не връща отговорите. Превръщането на клиента във филиален шлюз е решение за маршрутизация и отговорност преди да е решение за конфигурация. Името на протокола върху кутията не отговаря дали тази роля се поддържа.

Какво не ви казва етикетът на протокола

OpenVPN документира проект сайт към сайт, в който конектор препраща цяла подмрежа, а Access Server го реализира с роля на шлюз и явна маршрутизация. Друг продукт, предлаган като SSL VPN, може да показва само функции за отдалечен потребител, без поддържан начин да обяви мрежа зад клиента. Версията също има значение, защото функция в едно издание не е обещание за друго. Четете реализацията, която действително пускате, и приемайте рецепта, писана за друг продукт, като подсказка, а не като проект.

Въпросът, който трябва да се реши първо, е дали собственикът на VPN поддържа ролята на препращане изобщо. Ако не, никаква маршрутизация от страна на клиента не я прави поддържана.

Договорът има две страни: филиал и централа

От страната на филиала един хост отговаря за препращането, филтрирането и възстановяването. Той се нуждае от обмислен път от всяко устройство във филиала, а външната VPN връзка трябва да остава достъпна през подлежащата мрежа дори когато тунелът е спрян. От страната на централата някой трябва да дефинира филиалната подмрежа, да приеме самоличността на шлюза и да разреши конкретни ресурси. Нито една половина не работи сама.

Обратният път е частта, която се пропуска. Адрес на тунела за клиента не обявява подмрежата зад него, затова маршрутизаторите в централата се нуждаят от маршрут, който сочи към VPN шлюза за този префикс.

При маршрутизиран проект концентраторът препраща пакети за филиалния префикс и маршрутизацията на горната LAN знае как да върне отговорите към него. При транслационен проект източникът, който централата вижда, се пренаписва, което може да премахне нуждата от един обратен маршрут, но скрива коя филиална машина е изпратила трафика. Този компромис принадлежи в проектния документ, защото журналите на приложенията и правилата за достъп губят идентичността на всяко устройство, щом влезе транслация.

Маршрутизирано или транслационно: изберете обратния път съзнателно

Изберете маршрутизирано, когато идентичността на всяко устройство и политиката за всеки хост са важни и можете да поддържате обратния маршрут на всеки подходящ маршрутизатор.

Изберете транслационно, когато не можете да добавяте маршрути, но приемате, че централата вижда един адрес на източника. Смесените проекти съществуват и се обмислят по-трудно, затова запишете кои префикси са маршрутизирани и кои са транслационни. После проверете избора със снимка на двата края, вместо да се доверявате на състоянието на тунела.

Полезна проверка е асиметрична: поискайте ресурс от филиално устройство, после потвърдете, че отговорът напуска централата към филиалния префикс. traceroute -n 10.60.4.20 от хост в централата показва дали този път минава през VPN шлюза.

Експлоатирайте го като инфраструктура, а не като вход

Решете как шлюзът стартира, удостоверява се, обновява се и се възстановява, когато никой не е влязъл. Подновяването на идентификационни данни, многофакторните заявки, поведението при сън и кой реагира, когато филиалът загуби достъп, всичко това става оперативни въпроси. Няколко души, споделящи един мрежов път, не бива да наследяват личните привилегии на потребителя на шлюза, затова оторизацията на ресурси, обхватът на журнала и политиката при отказ се нуждаят от посочен собственик. Споделянето на акаунт, за да се избегне регистрация на всяко устройство, не е проект.

Сравнете подредбата с поддържан шлюз на сайт при същите изисквания, преди да се ангажирате. Повторното използване на стар настолен компютър не премахва работата по поддръжка и възстановяване, а цената втора употреба не описва оперативните разходи.

Проверете предвидените филиални приложения, техния обратен трафик и една забранена дестинация по одобрен план. Успехът изглежда като собствена мрежова услуга с посочена филиална идентичност и явна политика, а не като клиентски прозорец с надпис Свързано.