Отдалечен достъп или VPN сайт-към-сайт: кой подхожда?

Пътуващият служител и филиалът се нуждаят от различни тунели и грешният избор дава решение, което работи в лаборатория и се проваля в първия понеделник. Отдалеченият достъп свързва устройство с шлюз. Сайт-към-сайт свързва два шлюза, които представляват мрежи. Списъкът по-долу определя кой от двата всъщност описва изискването.

Кой се свързва и какво стои зад свързващия

При отдалечения достъп софтуерът на лаптопа или телефона установява тунела, а шлюзът удостоверява потребител, устройство или и двете, преди да зададе адрес и маршрути. При сайт-към-сайт рутерите, защитните стени или облачните шлюзове установяват връзката, а устройствата зад тях използват обичайно маршрутизиране вместо клиент. Тази разлика решава кой отговаря за непрекъснатата работа на тунела: устройството на служителя в първия случай, управлявано устройство във втория. Тя решава и дали удостоверяването описва човек или мрежа.

Спрете тук, ако изискването е всяка машина в един офис да достига друг офис без настройка за всяко устройство. Това е сайт-към-сайт, а купчина входове за отдалечен достъп е лош заместител.

Адресиране и обратен път

Планирайте отделни локални и отдалечени диапазони. Два сайта могат да използват една и съща частна подмрежа и тогава решението се нуждае от транслация или преномериране, преди маршрутизирането да стане еднозначно. Домашен рутер със същия диапазон като централния офис създава същия проблем за един отдалечен служител. Припокриването е достатъчно често, че проверката му принадлежи на първия разговор.

Обратният път е също толкова важен, колкото изходящият. Сървър може да получи заявка и пак да няма маршрут обратно към клиентската мрежа.

Документирайте кой рутер знае отдалечения префикс, особено при облачни мрежи и няколко шлюза. Зелена икона на тунел не може да отговори дали дестинацията има работещ обратен маршрут, нито ping в една посока. При отдалечения достъп шлюзът обикновено притежава маршрута на пула; при сайт-към-сайт всеки междинен рутер, който носи префикса, трябва да е съгласен. Транслацията може да скрие липсващ маршрут, докато не се счупи приложение, което вгражда адреси.

Изходът към интернет е отделно решение

Частната достъпност не изисква тунелът да носи публично сърфиране. Дали обичайният уеб трафик излиза през шлюза е второ решение, взето за всяко решение и записано в профила на клиента или в конфигурацията на сайта.

Пълният и разделеният тунел са отговори на този въпрос, а не на въпроса отдалечен достъп срещу сайт-към-сайт. Вътрешните имена се нуждаят от подходящ DNS и в двете решения, защото публичният резолвер няма отговор за име на частен офисен хост. Изпращането на резолвер и изпращането на маршрут по подразбиране са свързани настройки и промяната на едната без другата дава откази, които изглеждат като DNS проблеми.

Използвайте топологията, за да стесните неизправността

Един преносим компютър губи достъп при клиента, профила си или локалната си мрежа. Цял филиал губи достъп при споделени пътища и шлюзове.

Проверете първо установяването на тунела, после маршрутите, после разрешения трафик, после разрешаването на имена, после входа в приложението и спрете на първата стъпка, която се провали.ip route get 10.60.8.15 отговаря на въпроса за маршрутизирането, преди да прочетете дори един журнал на приложение. Настройките за криптиране не поправят грешка в правата за споделен файл и работещ ping не доказва, че приложението е оторизирано. Запазването на реда предотвратява случайните промени в конфигурацията, които превръщат една неизправност в три.

Накрая, дръжте дефинициите точни, когато четете материали на доставчик: търговски сървър за изход към интернет е различна услуга от частния шлюз на компанията и не дава достъп до мрежата на тази компания.