Remote-Access oder Site-to-Site-VPN: Was passt?

Ein reisender Beschäftigter und eine Filiale brauchen unterschiedliche Tunnel, und die falsche Wahl ergibt ein Design, das im Labor funktioniert und am ersten Montag versagt. Remote Access verbindet ein Gerät mit einem Gateway. Site-to-Site verbindet zwei Gateways, die Netze repräsentieren. Die Checkliste unten klärt, welche der beiden Varianten die Anforderung tatsächlich beschreibt.

Wer wählt, und was hinter dem Wählenden sitzt

Bei Remote Access baut Software auf dem Laptop oder Telefon den Tunnel auf, und das Gateway authentifiziert einen Benutzer, ein Gerät oder beides, bevor es eine Adresse und Routen zuweist. Bei Site-to-Site bauen Router, Firewalls oder Cloud-Gateways die Verbindung auf, und Geräte dahinter nutzen gewöhnliches Routing statt eines Clients. Dieser Unterschied entscheidet, wer die Verfügbarkeit des Tunnels verantwortet: das Gerät eines Beschäftigten im ersten Fall, ein verwaltetes Gerät im zweiten. Er entscheidet auch, ob die Authentifizierung eine Person oder ein Netz beschreibt.

Halten Sie hier inne, wenn die Anforderung lautet, dass jeder Rechner in einem Büro ein anderes Büro ohne Einrichtung pro Gerät erreicht. Das ist Site-to-Site, und ein Haufen Remote-Access-Anmeldungen ist ein schlechter Ersatz.

Adressierung und der Rückweg

Planen Sie getrennte lokale und entfernte Bereiche. Zwei Standorte können dasselbe private Subnetz nutzen, und dann braucht das Design Übersetzung oder Umnummerierung, bevor Routing eindeutig sein kann. Ein Heimrouter mit demselben Bereich wie die Zentrale erzeugt dasselbe Problem für einen entfernten Mitarbeiter. Überlappungen sind häufig genug, dass ihre Prüfung in das erste Gespräch gehört.

Der Rückweg zählt so viel wie der Hinweg. Ein Server kann eine Anfrage empfangen und trotzdem keine Route zurück zum Clientnetz haben.

Dokumentieren Sie, welcher Router das entfernte Präfix kennt, besonders bei Cloud-Netzen und mehreren Gateways. Ein grünes Tunnel-Symbol kann nicht beantworten, ob ein Ziel einen funktionierenden Rückweg hat, und ein Ping in eine Richtung auch nicht. Bei Remote Access gehört die Pool-Route meist dem Gateway; bei Site-to-Site muss jeder Zwischenrouter, der das Präfix trägt, zustimmen. Übersetzung kann eine fehlende Route verbergen, bis eine Anwendung bricht, die Adressen einbettet.

Der Internet-Ausgang ist eine eigene Entscheidung

Private Erreichbarkeit verlangt nicht, dass der Tunnel öffentliches Surfen trägt. Ob gewöhnlicher Webverkehr über das Gateway hinausgeht, ist eine zweite Entscheidung, die pro Design getroffen und im Clientprofil oder in der Standortkonfiguration festgehalten wird.

Volltunnel und Split-Tunnel beantworten diese Frage, nicht die Frage Remote Access gegen Site-to-Site. Interne Namen brauchen in beiden Designs passendes DNS, weil ein öffentlicher Resolver keine Antwort für einen privaten Büro-Hostnamen hat. Einen Resolver zu schieben und eine Standardroute zu schieben sind verwandte Einstellungen, und eine ohne die andere zu ändern erzeugt Fehler, die wie DNS-Probleme aussehen.

Nutzen Sie die Topologie, um den Fehler einzugrenzen

Ein umherziehender Laptop verliert den Zugang beim Client, seinem Konto oder seinem lokalen Netz. Eine ganze Filiale verliert den Zugang an gemeinsamen Pfaden und Gateways.

Prüfen Sie zuerst den Tunnelaufbau, dann Routen, dann erlaubten Verkehr, dann Namensauflösung, dann die Anwendungsanmeldung, und halten Sie beim ersten Schritt an, der scheitert.ip route get 10.60.8.15 beantwortet die Routingfrage, bevor Sie ein einziges Anwendungsprotokoll lesen. Verschlüsselungseinstellungen beheben keinen Berechtigungsfehler bei einer Dateifreigabe, und ein funktionierender Ping beweist nicht, dass eine Anwendung autorisiert ist. Die feste Reihenfolge verhindert die zufälligen Konfigurationsänderungen, die aus einem Fehler drei machen.

Schließlich halten Sie die Definitionen gerade, wenn Sie Herstellermaterial lesen: ein kommerzieller Internet-Ausgangsserver ist ein anderer Dienst als das private Gateway eines Unternehmens und gewährt keinen Zugang zu dessen Netz.