Quan un client d’accés remot ha de fer de passarel·la de sucursal

Un portàtil connectat a una VPN pot arribar a la seu central. La impressora i el servidor de fitxers del mateix escriptori no poden, perquè res no reenvia els seus paquets a aquest túnel ni retorna les respostes. Convertir el client en una passarel·la de sucursal és una decisió d’encaminament i de propietat abans que una decisió de configuració. El nom del protocol a la caixa no respon si aquest rol és compatible.

Què no us diu l’etiqueta del protocol

OpenVPN documenta un disseny de lloc a lloc en què un connector reenvia tota una subxarxa, i Access Server l’implementa amb un rol de passarel·la i encaminament explícit. Un altre producte comercialitzat com a VPN SSL pot oferir només funcions d’usuari remot, sense cap manera compatible d’anunciar una xarxa darrere del client. La versió també importa, perquè una funció present en una edició no és una promesa sobre una altra. Llegiu la implementació que realment executeu i tracteu una recepta escrita per a un altre producte com un indici, no com un disseny.

La pregunta que cal resoldre primer és si el propietari de la VPN admet el rol de reenviament. Si no, cap encaminament al costat del client el fa compatible.

El contracte té dues bandes: sucursal i seu central

A la banda de la sucursal, un sol amfitrió s’encarrega del reenviament, el filtratge i la recuperació. Necessita un camí deliberat des de cada dispositiu de la sucursal, i la connexió VPN exterior ha de romandre accessible a través de la xarxa subjacent fins i tot quan el túnel està caigut. A la banda de la seu, algú ha de definir la subxarxa de la sucursal, acceptar la identitat de la passarel·la i permetre recursos concrets. Cap meitat no funciona sola.

El camí de tornada és la part que es descuida. Una adreça de túnel per al client no anuncia la subxarxa que hi ha darrere, així que els encaminadors de la seu necessiten una ruta que apunti a la passarel·la VPN per a aquest prefix.

En un disseny encaminat, el concentrador reenvia els paquets del prefix de la sucursal i l’encaminament de la LAN superior sap com tornar les respostes. En un disseny traduït, la font que veu la seu es reescriu, cosa que pot eliminar la necessitat d’una ruta de tornada mentre amaga quina màquina de la sucursal ha enviat el trànsit. Aquest compromís pertany al document de disseny, perquè els registres d’aplicacions i les regles d’accés perden la identitat per dispositiu quan entra en joc la traducció.

Encaminat o traduït: trieu el camí de tornada amb intenció

Trieu encaminat quan la identitat per dispositiu i la política per amfitrió importen i podeu mantenir la ruta de tornada a cada encaminador rellevant.

Trieu traduït quan no podeu afegir rutes però accepteu que la seu vegi una sola adreça d’origen. Els dissenys mixts existeixen i són més difícils de raonar, així que anoteu quins prefixos són encaminats i quins traduïts. Després verifiqueu l’elecció amb una captura als dos extrems en lloc de confiar en l’estat del túnel.

Una comprovació útil és asimètrica: demaneu un recurs des d’un dispositiu de la sucursal i després confirmeu que la resposta surt de la seu cap al prefix de la sucursal. traceroute -n 10.60.4.20 des d’un amfitrió de la seu mostra si aquest camí passa per la passarel·la VPN.

Opereu-ho com a infraestructura, no com un inici de sessió

Decidiu com arrenca, s’autentica, s’actualitza i es recupera la passarel·la sense ningú connectat. La renovació de credencials, els avisos multifactor, el comportament de repòs i qui respon quan la sucursal perd l’accés esdevenen qüestions operatives. Diverses persones que comparteixen un camí de xarxa no han d’heretar els privilegis personals de l’usuari de la passarel·la, així que l’autorització de recursos, l’abast del registre i la política de fallada necessiten un propietari nomenat. Compartir un compte per evitar l’alta de cada dispositiu no és un disseny.

Compareu la solució amb una passarel·la de lloc compatible sota els mateixos requisits abans de comprometre-us. Reutilitzar un escriptori vell no elimina la feina de manteniment ni de recuperació, i el preu de segona mà no descriu el cost operatiu.

Valideu les aplicacions de sucursal previstes, el seu trànsit de tornada i una destinació denegada sota un pla aprovat. L’èxit sembla un servei de xarxa propi amb una identitat de sucursal nomenada i una política explícita, no una finestra de client que diu Connectat.