A all cleient VPN crwydrol gynnal gwasanaeth i'r swyddfa?

Gall eich gliniadur swyddfa ddeialu i mewn o gartref a dal i wasanaethu rhywbeth sydd ei angen ar y swyddfa, ond dim ond pan fydd tri phenderfyniad ar wahân yn cyd-fynd. Cludiant yw'r twnnel, cyrchfan yw'r cyfeiriad mewnol, a pholisi sy'n penderfynu pwy gaiff guro. Mae trin unrhyw un ohonynt fel yr ateb cyfan yn cynhyrchu'r gwyn gyfarwydd bod y gwesteiwr yn ateb pingau ond nad yw'r rhaglen byth yn cysylltu. Nid yw'r rolau yr un fath, a'r gwahaniaeth yw'n union lle mae'r gwaith dylunio'n byw.

Nid yw cyfeiriad y deialu i mewn yn dweud dim am gyfeiriad y gwasanaeth

Pan fydd cleient yn dechrau twnnel, mae'n agor llwybr y gall y ddau gyfeiriad ei ddefnyddio unwaith y bydd yn bodoli. Mater i bolisi'r porth yw a gaiff cysylltiad newydd ddod i mewn o'r canolbwynt tuag at y cleient hwnnw, nid priodwedd yr hwn a ddeialodd. Ar ganolfan OpenVPN wedi'i llwybro, er enghraifft, mae ar y gweinydd angen llwybr i gyfeiriad mewnol y cleient a blaenyrru sy'n caniatáu'r berthynas gyfoed.

Dychmygwch system stoc sy'n holi asiant ar liniaduron crwydrol, neu ddatblygwr sydd angen API prawf o orsaf waith gartref. Mae'r ddau eisiau i ochr y swyddfa ddechrau'r sgwrs, sef gwrthwyneb y patrwm arferol cleient-i-weinydd.

Mae cynhyrchion mynediad o bell a gynhelir yn amrywio yma, ac nid nam yw'r amrywiaeth. Mae rhai VPN gwasanaeth a reolir yn rhwystro cysylltiadau digymell tuag at gleientiaid cysylltiedig yn fwriadol oherwydd mai eu model yw cleient-i-adnodd, nid adnodd-i-gleient. Darllenwch bensaernïaeth ddogfennedig y cynnyrch cyn addo i gydweithiwr y gall ei liniadur weithredu fel gweinydd.

Dilynwch y llwybr ateb cyn agor porth

Mae tair rhan i'r llwybr: llwybr ar y porth sy'n pwyntio at gyfeiriad mewnol y cleient, polisi sy'n caniatáu'r galwr penodol, a gwasanaeth yn gwrando ar y targed. Mae pob rhan yn methu'n wahanol, a dyna pam nad yw “mae'r VPN i fyny” yn dweud fawr ddim.

Y newydd da yw nad oes ar y llwybr mewnol angen anfon porth ymlaen ar rwter cartref y cleient. Dyna bwynt cyhoeddi'r gwasanaeth ar gyfeiriad y twnnel yn hytrach nag ar gyfeiriad WAN y cartref, lle byddai'r amlygiad a'r rheolau NAT yn hollol wahanol. Gall rhwter cartref hefyd wrthod hairpinio cysylltiad sy'n dod o'r swyddfa, felly mae llwybr WAN yn methu am resymau heb berthynas â'ch VPN. Mae cadw'r traffig y tu mewn i'r twnnel yn osgoi'r ddau broblem ar unwaith.

Gwiriwch ochr y targed hefyd. Ni all gwasanaeth sy'n rhwym i 127.0.0.1 yn unig dderbyn cysylltiad sy'n cyrraedd y rhyngwyneb twnnel, pa mor gywir bynnag yw llwybrau'r porth. Bydd rheol wal dân y gwesteiwr sy'n caniatáu'r porth o'r isrwydwaith lleol yn unig hefyd yn gollwng traffig y swyddfa, ac mae'r rheol honno'n annibynnol ar bolisi'r VPN uwchben.

Mae enwau a chyfeiriadau yn benderfyniadau dylunio

Nid yw cyfeiriad y tu mewn i'r twnnel yn enw yn awtomatig. Mae cofnod DNS preifat a reolwch yn gliriach na gobeithio y bydd protocol darganfod yn croesi'r twnnel, oherwydd mae datrys enwau multicast lleol yn aros ar y segment lleol ac nid yw'n dod yn DNS traws-isrwydwaith.

Mae sefydlogrwydd cyfeiriad yr un mor bwysig. Os yw cleientiaid VPN yn tynnu o gronfa â phrydlesi byr, mae cyfeiriad mewnol y gliniadur yn newid rhwng sesiynau ac mae pob nod tudalen, cwmpas wal dân a gwiriad monitro a adeiladwyd arno yn torri'n dawel. Defnyddiwch gadwraeth neu lwybr diweddaru deinamig dogfennedig.

Cytunwch ar yr enw gyda pwy bynnag sy'n berchen ar hunaniaeth y VPN, fel bod y cofnod, y neilltuo cyfeiriad a'r polisi mynediad yn newid gyda'i gilydd yn hytrach nag mewn tri thocyn ar wahân.

Profwch y gwasanaeth, nid yr aelodaeth

O'r targed, cadarnhewch beth sy'n gwrando ac ar ba gyfeiriad, yna cadarnhewch olwg y porth ar y llwybr dychwelyd:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Nawr profwch o ochr y swyddfa â chais go iawn yn hytrach nag atsain. Mae curl llwyddiannus yn erbyn y gwasanaeth yn profi'r llwybr, y polisi a'r gwrandäwr ar unwaith, tra mai dim ond profi bod ICMP yn cael ei ganiatáu y mae ping llwyddiannus. Os bydd'r cais yn methu, ewch yn ôl drwy'r tair rhan yn hytrach na lledu'r wal dân a gobeithio.

Mae argaeledd yn perthyn i'r un sgwrs. Mae gliniadur yn cysgu, yn crwydro rhwng rhwydweithiau ac yn datgysylltu ar ddiwedd y dydd. Mae gwasanaeth sy'n rhaid iddo ateb ar unrhyw awr yn perthyn i westeiwr bob amser ymlaen, tra gall gwasanaeth ymgais-orau aros ar y cleient gyda'r cyfyngiad hwnnw wedi'i ysgrifennu.

Cyhoeddwch yr adnodd yn fwriadol — gydag enw, rhestr o alwyr a ganiateir a pherchennog — ac mae'r ddyfais bell yn dod yn wasanaeth a gefnogir yn hytrach na gweinydd damweiniol.