Når en fjernadgangsklient skal fungere som filialgateway

En bærbar computer, der er forbundet til en VPN, kan nå hovedkontoret. Printeren og filserveren på samme skrivebord kan ikke, fordi intet videresender deres pakker ind i den tunnel eller bringer svarene tilbage. At gøre klienten til en filialgateway er en beslutning om routing og ejerskab, før det er en konfigurationsbeslutning. Protokolnavnet på æsken besvarer ikke, om den rolle understøttes.

Hvad protokolmærket ikke fortæller dig

OpenVPN dokumenterer et design fra sted til sted, hvor en connector videresender et helt subnet, og Access Server implementerer det med en gatewayrolle og eksplicit routing. Et andet produkt, der markedsføres som en SSL VPN, udbyder måske kun fjernbrugerfunktioner uden nogen understøttet måde at annoncere et netværk bag klienten. Versionen betyder også noget, fordi en funktion i én udgivelse ikke er et løfte om en anden. Læs den implementering, du faktisk kører, og betragt en opskrift skrevet til et andet produkt som et hint, ikke et design.

Spørgsmålet, der skal afgøres først, er, om VPN-ejeren overhovedet understøtter videresendelsesrollen. Hvis ikke, gør ingen mængde routing på klientsiden den understøttet.

Kontrakten har to sider: filial og hovedkontor

På filialsiden ejer én vært videresendelse, filtrering og gendannelse. Den har brug for en bevidst vej fra hver filialenhed, og den ydre VPN-forbindelse skal forblive tilgængelig gennem det underliggende netværk, selv mens tunnelen er nede. På hovedkontorets side skal nogen definere filialsubnettet, acceptere gatewayens identitet og tillade bestemte ressourcer. Ingen af halvdelene virker alene.

Returvejen er den del, der springes over. En tunneladresse til klienten annoncerer ikke subnettet bag den, så hovedkontorets routere har brug for en rute, der peger på VPN-gatewayen for det præfiks.

I et routet design videresender koncentratoren pakker for filialpræfikset, og routingen på det overordnede LAN ved, hvordan svarene sendes tilbage. I et oversat design skrives den kilde, hovedkontoret ser, om, hvilket kan fjerne behovet for én returrute, men skjuler hvilken filialmaskine der sendte trafikken. Den afvejning hører i designdokumentet, fordi applikationslogfiler og adgangsregler mister identiteten per enhed, når oversættelsen kommer i spil.

Routet eller oversat: vælg returvejen bevidst

Vælg routet, når identitet per enhed og politik per vært betyder noget, og du kan vedligeholde returruten på hver relevant router.

Vælg oversat, når du ikke kan tilføje ruter, men kan acceptere, at hovedkontoret ser én kildeadresse. Blandede design findes og er sværere at gennemskue, så skriv ned, hvilke præfikser der er routede, og hvilke der er oversatte. Bekræft derefter valget med en optagelse i begge ender i stedet for at stole på tunnelstatus.

En nyttig kontrol er asymmetrisk: anmod om en ressource fra en filialenhed, og bekræft derefter, at svaret forlader hovedkontoret mod filialpræfikset. traceroute -n 10.60.4.20 fra en vært i hovedkontoret viser, om den vej går gennem VPN-gatewayen.

Driv det som infrastruktur, ikke som et login

Beslut, hvordan gatewayen starter, autentificerer, opdaterer og gendanner, når ingen er logget ind. Fornyelse af legitimationsoplysninger, multifaktoropfordringer, søvnadfærd og hvem der reagerer, når filialen mister adgang, bliver alle operationelle spørgsmål. Flere personer, der deler én netværksvej, må ikke arve gatewaybrugerens personlige privilegier, så ressourceautorisation, logningsomfang og fejlpolitikken skal have en navngivet ejer. At dele en konto for at undgå tilmelding af hver enhed er ikke et design.

Sammenlign arrangementet med en understøttet stedgateway under de samme krav, før du forpligter dig. Genbrug af en gammel stationær computer fjerner ikke vedligeholdelses- eller gendannelsesarbejde, og prisen fra anden hånd beskriver ikke driftsomkostningen.

Validér de tilsigtede filialapplikationer, deres returtrafik og én afvist destination under en godkendt plan. Succes ser ud som en ejet netværkstjeneste med en navngivet filialidentitet og en eksplicit politik, ikke et klientvindue, der siger Forbundet.