SoftEther VPN Azure: una ruta de relé, no un port obert

El vostre servidor és darrere d’un encaminador que no podeu configurar, així que el pla evident de reenviar un port no està disponible. VPN Azure existeix justament per a aquesta situació, i la resol invertint la direcció de la primera connexió: el servidor marca cap a un relé i els clients arriben al relé en lloc del servidor. Entendre aquesta inversió explica tant què corregeix el servei com cada límit amb què us trobareu després.

Què canvia en la ruta

Amb un oient convencional, un client obre una connexió TCP a una adreça pública que el vostre encaminador reenvia al servidor. Amb el relé, el servidor manté una connexió sortint cap a la infraestructura del relé, i el relé accepta les connexions dels clients i passa la seva càrrega al servidor que espera. No s’obre cap port d’entrada, no cal cap adreça estàtica i l’encaminador queda intacte. Des del punt de vista del tallafoc, el servidor és un client sortint ordinari, i per això les xarxes restrictives el permeten.

El relé assigna un nom al seu propi domini a aquell servidor, i els clients es configuren per connectar-s’hi.

Aquest nom pertany al servei de relé, que no és una Microsoft Azure VPN Gateway encara que tots dos es diguin Azure alguna cosa. Tractar-los com a intercanviables produeix una configuració que no pot funcionar.

Quins protocols sobreviuen al relé

El relé transporta el protocol SoftEther, i el projecte documenta SSTP com a opció de client, cosa útil perquè Windows inclou un client SSTP. No es converteix en un transportista genèric per a cada oient de l’amfitrió: un oient d’OpenVPN, un responedor IPsec i un servei L2TP necessiten cadascun el seu propi punt final accessible, i cap d’ells no es transporta pel relé només perquè el servidor SoftEther estigui connectat.

Per tant, els perfils de client apunten al nom del relé en lloc de l’adreça del servidor, i un perfil existent creat per a una connexió directa no funcionarà sense canvis. Consulteu la llista de clients compatibles per a la versió que executeu abans de dissenyar al voltant d’un protocol que el relé no transporta.

Què no fa el relé per vosaltres

El relé és un transport. No crea usuaris, concentradors virtuals, polítiques d’accés ni rutes, i no sap res de les xarxes privades darrere del vostre servidor. Si els clients remots han d’arribar a una subxarxa de LAN, el servidor encara necessita la configuració de pont o d’encaminament, la ruta de tornada i la política de tallafoc que ho fan funcionar. Els plans d’adreçament solapats als dos extrems també són invisibles per al relé i continuen sent el vostre problema a resoldre.

Els paràmetres de seguretat compatibles també són vostres per triar. La documentació del projecte inclou exemples de plataformes més antigues, i copiar paràmetres heretats de xifratge o certificats d’una captura antiga és una bona manera de construir un túnel que ningú no pugui auditar. Feu servir la guia actual per a la versió que executeu.

La validació de certificats i l’autenticació d’usuaris continuen sent responsabilitat del servidor, i el relé no substitueix mai cap de les dues.

Opereu-lo com una dependència

La disponibilitat ara inclou un tercer. Quan el relé no és accessible, els clients no es poden connectar per molt sa que estigui el vostre servidor, i la fallada sembla un problema de client des de fora. Superviseu la ruta del relé per separat de la salut del servidor i manteniu un pla alternatiu documentat, com un oient directe en una altra adreça, per al dia que importi.

La latència segueix la geografia del relé en lloc de la proximitat dels vostres usuaris, cosa que val la pena mesurar abans de prometre-hi rendiment interactiu.

Verifiqueu la identitat del servidor i després una ruta d’aplicació real, no només un bàner de connexió correcta, i comproveu si el recurs que necessiteu és accessible sobre la família d’adreces que transporta el relé. Anoteu el nom del relé, el protocol utilitzat i el pla alternatiu, perquè aquests tres fets responen la majoria de preguntes futures sobre aquest enllaç.