SoftEther VPN Azure: llwybr cyfnewid, nid porth agored

Mae eich gweinydd y tu ôl i lwybyddwr na allwch ei ffurfweddu, felly nid yw’r cynllun amlwg o anfon porth ymlaen ar gael. VPN Azure sy’n bodoli ar gyfer y sefyllfa honno’n union, ac mae’n ei datrys drwy wrthdroi cyfeiriad y cysylltiad cyntaf: mae’r gweinydd yn cysylltu allan i gyfnewidfa, ac mae cleientiaid yn cyrraedd y gyfnewidfa yn lle’r gweinydd. Mae deall y gwrthdroad hwnnw’n esbonio’r hyn y mae’r gwasanaeth yn ei drwsio a phob cyfyngiad y byddwch yn dod ar ei draws yn ddiweddarach.

Yr hyn sy’n newid yn y llwybr

Gyda gwrandawr confensiynol, mae cleient yn agor cysylltiad TCP i gyfeiriad cyhoeddus y mae eich llwybyddwr yn ei anfon ymlaen i’r gweinydd. Gyda’r gyfnewidfa, mae’r gweinydd yn cynnal cysylltiad allanol i’r seilwaith cyfnewid, ac mae’r gyfnewidfa yn derbyn cysylltiadau cleientiaid ac yn trosglwyddo eu llwyth i’r gweinydd sy’n disgwyl. Nid oes porth fewnol yn cael ei agor, nid oes angen cyfeiriad statig, ac mae’r llwybyddwr yn aros heb ei gyffwrdd. O safbwynt y mur tân, cleient allanol cyffredin yw’r gweinydd, a dyna pam mae rhwydweithiau cyfyngol yn caniatáu hynny.

Mae’r gyfnewidfa yn penodi enw ar ei pharth ei hun i’r gweinydd hwnnw, ac mae cleientiaid yn cael eu ffurfweddu i gysylltu yno.

Mae’r enw hwnnw’n perthyn i’r gwasanaeth cyfnewid, nad yw’n Microsoft Azure VPN Gateway er bod y ddau’n cael eu galw’n Azure rywbeth. Mae trin y ddau fel pethau cyfnewidiol yn cynhyrchu ffurfweddiad na all weithio.

Pa brotocolau sy’n goroesi’r gyfnewidfa

Mae’r gyfnewidfa yn cludo protocol SoftEther, ac mae’r prosiect yn dogfennu SSTP fel opsiwn cleient, sy’n ddefnyddiol oherwydd bod Windows yn danfon cleient SSTP. Nid yw’n dod yn gludydd cyffredinol ar gyfer pob gwrandawr ar y lletywr: mae angen pwynt cyrraedd ei hun ar bob gwrandawr OpenVPN, ymatebydd IPsec a gwasanaeth L2TP, ac nid oes yr un ohonynt yn cael ei gludo drwy’r gyfnewidfa dim ond oherwydd bod y gweinydd SoftEther wedi’i gysylltu.

Felly mae proffiliau cleientiaid yn pwyntio at enw’r gyfnewidfa yn hytrach nag at gyfeiriad y gweinydd, ac ni fydd proffil presennol a adeiladwyd ar gyfer cysylltiad uniongyrchol yn gweithio heb newid. Edrychwch ar y rhestr cleientiaid a gefnogir ar gyfer y fersiwn rydych yn ei redeg cyn dylunio o amgylch protocol nad yw’r gyfnewidfa yn ei gludo.

Yr hyn nad yw’r gyfnewidfa yn ei wneud drosoch

Cludydd yw’r gyfnewidfa. Nid yw’n creu defnyddwyr, hybiau rhithwir, polisïau mynediad na llwybrau, ac nid yw’n gwybod unrhyw beth am y rhwydweithiau preifat y tu ôl i’ch gweinydd. Os oes rhaid i gleientiaid o bell gyrraedd is-rwydwaith LAN, mae angen y ffurfweddiad pontio neu lwybro, y llwybr dychwelyd a’r polisi mur tân sy’n gwneud hynny’n gweithio o hyd. Mae cynlluniau cyfeiriad sy’n gorgyffwrdd yn y ddau ben yn anweladwy i’r gyfnewidfa hefyd ac yn parhau i fod yn broblem i chi ei datrys.

Chi sydd hefyd yn dewis y gosodiadau diogelwch a gefnogir. Mae dogfennaeth y prosiect yn cynnwys enghreifftiau platfform hŷn, ac mae copïo gosodiadau seiffr neu dystysgrif etifeddol o hen sgrinlun yn ffordd dda o adeiladu twnnel na all neb ei archwilio. Defnyddiwch y canllaw cyfredol ar gyfer y fersiwn rydych yn ei redeg.

Mae dilysu tystysgrifau a dilysu defnyddwyr yn parhau’n gyfrifoldeb y gweinydd, ac nid yw’r gyfnewidfa byth yn cymryd lle’r naill na’r llall.

Gweithredwch ef fel dibyniaeth

Mae argaeledd nawr yn cynnwys trydydd parti. Pan na ellir cyrraedd y gyfnewidfa, ni all cleientiaid gysylltu waeth pa mor iach yw eich gweinydd, ac mae’r methiant yn edrych fel problem cleient o’r tu allan. Monitrwch y llwybr cyfnewid ar wahân i iechyd y gweinydd ei hun, a chadwch gynllun wrth gefn wedi’i ddogfennu fel gwrandawr uniongyrchol ar gyfeiriad arall ar gyfer y diwrnod y bydd yn bwysig.

Mae oedi yn dilyn daearyddiaeth y gyfnewidfa yn hytrach na agosrwydd eich defnyddwyr, sy’n werth ei fesur cyn addo perfformiad rhyngweithiol drosto.

Gwiriwch hunaniaeth y gweinydd ac yna lwybr cymhwysiad go iawn, nid baner cysylltiad llwyddiannus yn unig, a gwirio a yw’r adnodd sydd ei angen arnoch yn cyrraedd dros y teulu cyfeiriadau y mae’r gyfnewidfa yn ei gludo. Cofnodwch enw’r gyfnewidfa, y protocol a ddefnyddiwyd a’r cynllun wrth gefn, oherwydd mae’r tri ffaith hynny’n ateb y rhan fwyaf o gwestiynau’r dyfodol am y cysylltiad hwn.