Windows VPN pristupna tačka: tri posla, tri vlasnika

Tri se funkcije spoje svaki put kad neko kaže VPN server: prekidanje šifriranog tunela, premještanje paketa između mreža i opcionalno prepisivanje adresa. Na Windowsu te funkcije žive u različitim dijelovima stoga, čak i kad jedno računalo obavlja sve tri. Svaka ima svoje ulaze i svoj način neuspjeha, i svaka se može predati drugom proizvodu. Razdvojiti ih na papiru najjeftiniji je način da mala instalacija ostane razumljiva.

Čitljiv nacrt imenuje vlasnika svakog toka umjesto da stroj opisuje kao ulogu.

Prekinuti, proslijediti, prevesti

RRAS obrađuje tunel za izvorni Windows slučaj: provjerava korisnika, dodjeljuje adresu iz skupa i odlučuje koja su odredišta dopuštena. Drugi VPN proizvod može umjesto toga posjedovati slušatelj i virtualni adapter, a Windowsu ostaviti prosljeđivanje dešifriranih paketa. Microsoftova dokumentacija za Remote Access razdvaja VPN, site-to-site i usmjerivačke uloge, a instalacija usmjerivačke uloge ne stvara drugi VPN identitet. Dodavanje još jedne VPN aplikacije također ne predaje njezin adapter svakoj postojećoj funkciji pristupne točke.

Prevođenje je treći i najopcionalniji posao. Dolazi nakon prosljeđivanja i mijenja izvornu adresu koju udaljena mreža vidi. Treba li vam, ovisi o tome što će odredišna mreža prihvatiti kao izvor, a ne o tome da se stroj naziva VPN pristupnom točkom.

Kome pripadaju adapter i skup adresa

Kad nekoliko proizvoda dijeli host, četiri stvari trebaju po jednog vlasnika: portovi slušatelja, životni vijek adaptera, skup adresa klijenata i rute. Adapter je nezgodan slučaj jer ga VPN servis može stvoriti dinamički i uništiti pri odspajanju. Tretirati to sučelje kao trajno imenovanu mrežnu karticu i pisati pravila prema njegovu imenu radi do sljedećeg ponovnog spajanja. Koristite podržanu integracijsku točku proizvoda umjesto tvrdog kodiranja imena sučelja.

Skup adresa druga je kolizija. Dva proizvoda koja dijele preklapajuće raspone proizvode usmjeravanje koje izgleda ispravno i ne dostavlja ništa. Držite skupove u istom dokumentu kao i rute, tako da promjena u jednome bude vidljiva prema drugome.

Sačuvajte izvor ili ga prepišite

Čuvanje izvorne adrese klijenta održava vidljivost po korisniku: zapisnici, kvote i pravila vatrozida mogu razlikovati jednog korisnika od drugoga. Cijena je da odredišni LAN treba povratnu rutu prema pristupnoj točki i da je netko mora održavati. Prepisivanje izvora pomoću NAT-a uklanja taj zahtjev i uklanja vidljivost s njim. Odlučite namjerno i zapišite koje informacije prepisivanje skriva.

Pristup privatnoj mreži, izlaz na internet i veze koje završavaju na samoj pristupnoj točki tri su različita puta. Nije svima potreban isti tretman.

Opišite tok u jednoj rečenici

Jedna rečenica treba opisati nacrt: koje klijente ova usluga prima, koje resurse ta politika prosljeđivanja daje i kako povratni put dovršava tok. Ako rečenici treba drugi NAT sloj da bi bila istinita, to je obično znak da raniji dijelovi nisu bili razriješeni. Host je i zajednička granica kvara i povjerenja, pa promjena usmjeravanja može utjecati i na korisnički pristup i na administraciju. Za potonje zadržite neovisni put oporavka.

Održavajte popis uloga uz konfiguraciju: koji proizvod prekida, koji prosljeđuje, koji prevodi i kome je svaki od njih promjenjiv. Taj popis čini sljedeću promjenu provjerljivom.

Kad rečenica postane nejasna, dodavanje još jednog sloja prevođenja rijetko je razjašnjava. Uklanjanje jednoga obično jest.