Brána VPN ve Windows: tři úlohy, tři vlastníci

Tři funkce se slijí, kdykoli někdo řekne server VPN: ukončení šifrovaného tunelu, přesun paketů mezi sítěmi a volitelně přepsání adres. Ve Windows žijí v různých částech zásobníku, i když jeden stroj dělá všechny. Každá má své vstupy a svůj vlastní způsob selhání a každou lze svěřit jinému produktu. Oddělit je na papíře je nejlevnější způsob, jak udržet malé nasazení srozumitelné.

Čitelný návrh pojmenovává vlastníka každého toku, místo aby popisoval stroj jako roli.

Ukončit, přeposlat, přeložit

RRAS obsluhuje tunel pro nativní případ Windows: ověří uživatele, přidělí adresu z fondu a rozhodne, které cíle jsou povoleny. Jiný produkt VPN může místo toho vlastnit listener a virtuální adaptér a nechat Windows přeposílat dešifrované pakety. Dokumentace Microsoftu k Remote Access odděluje role VPN, site-to-site a směrování a instalace role směrování nevytváří druhou identitu VPN. Přidání další aplikace VPN také nepředává její adaptér všem stávajícím funkcím brány.

Překlad je třetí a nejvolitelnější úloha. Přichází po přeposílání a mění zdrojovou adresu, kterou vzdálená síť vidí. Zda ho potřebujete, závisí na tom, co cílová síť přijme jako zdroj, ne na tom, že se stroj nazývá branou VPN.

Kdo vlastní adaptér a fond

Když hostitele sdílí několik produktů, čtyři věci potřebují každá jediného vlastníka: porty listeneru, životnost adaptéru, fond adres klientů a trasy. Adaptér je ten nepříjemný, protože služba VPN ho může vytvořit dynamicky a při odpojení zničit. Považovat toto rozhraní za trvale pojmenovanou síťovou kartu a psát pravidla proti jejímu názvu funguje do dalšího připojení. Použijte podporovaný integrační bod produktu, místo abyste název rozhraní zadrátovali.

Fond adres je druhá kolize. Dva produkty vydávající se překrývající rozsahy vytvoří směrování, které vypadá správně a nic nedoručí. Udržujte fondy ve stejném dokumentu jako trasy, aby byla změna jednoho vidět proti druhému.

Zachovat zdroj, nebo ho přepsat

Zachování zdrojové adresy klienta udržuje viditelnost pro jednotlivé uživatele: protokoly, kvóty a pravidla firewallu dokážou rozlišit jednoho uživatele od druhého. Cenou je, že cílová LAN potřebuje zpětnou trasu směrem k bráně a někdo ji musí udržovat. Přepsání zdroje pomocí NAT tento požadavek odstraní a spolu s ním i viditelnost. Rozhodněte se záměrně a zapište, které informace přepis skrývá.

Přístup k privátní síti, výstup do internetu a připojení, která končí na samotné bráně, jsou tři různé cesty. Ne všechny potřebují stejné zacházení.

Popsat tok jednou větou

Jedna věta by měla popsat návrh: které klienty tato služba přijímá, které zdroje tato politika přeposílání uděluje a jak zpětná cesta tok dokončuje. Pokud věta potřebuje druhou vrstvu NAT, aby byla pravdivá, je to obvykle známka toho, že předchozí díly nebyly dořešeny. Hostitel je také sdílená hranice selhání a důvěry, takže změna směrování může ovlivnit přístup uživatelů i administraci. Pro tuto druhou si ponechte nezávislou cestu obnovy.

Udržujte soupis rolí vedle konfigurace: který produkt ukončuje, který přeposílá, který překládá a kdo může každý z nich změnit. Právě tento seznam činí další změnu kontrolovatelnou.

Když je věta nejasná, přidání další vrstvy překladu ji zřídka vyjasní. Odebrání jedné obvykle ano.