Όταν ένας πελάτης απομακρυσμένης πρόσβασης πρέπει να λειτουργήσει ως πύλη υποκαταστήματος

Ένας φορητός υπολογιστής συνδεδεμένος σε VPN μπορεί να φτάσει στα κεντρικά γραφεία. Ο εκτυπωτής και ο διακομιστής αρχείων στο ίδιο γραφείο δεν μπορούν, επειδή τίποτα δεν προωθεί τα πακέτα τους σε αυτό το τούνελ ούτε επιστρέφει τις απαντήσεις. Η μετατροπή του πελάτη σε πύλη υποκαταστήματος είναι απόφαση δρομολόγησης και ιδιοκτησίας πριν γίνει απόφαση διαμόρφωσης. Το όνομα του πρωτοκόλλου στο κουτί δεν απαντά αν αυτός ο ρόλος υποστηρίζεται.

Τι δεν σας λέει η ετικέτα του πρωτοκόλλου

OpenVPN τεκμηριώνει σχεδιασμό από τοποθεσία σε τοποθεσία όπου ένας συνδετήρας προωθεί ένα ολόκληρο υποδίκτυο, και ο Access Server τον υλοποιεί με ρόλο πύλης και ρητή δρομολόγηση. Ένα άλλο προϊόν που διαφημίζεται ως SSL VPN μπορεί να προσφέρει μόνο λειτουργίες απομακρυσμένου χρήστη, χωρίς υποστηριζόμενο τρόπο ανακοίνωσης δικτύου πίσω από τον πελάτη. Η έκδοση μετράει επίσης, γιατί μια λειτουργία σε μια έκδοση δεν είναι υπόσχεση για μια άλλη. Διαβάστε την υλοποίηση που πραγματικά εκτελείτε και αντιμετωπίστε μια συνταγή γραμμένη για άλλο προϊόν ως υπόδειξη, όχι ως σχεδιασμό.

Το ερώτημα που πρέπει να λυθεί πρώτο είναι αν ο ιδιοκτήτης του VPN υποστηρίζει καθόλου τον ρόλο προώθησης. Αν όχι, καμία δρομολόγηση στην πλευρά του πελάτη δεν τον κάνει υποστηριζόμενο.

Η σύμβαση έχει δύο πλευρές: υποκατάστημα και κεντρικά

Στην πλευρά του υποκαταστήματος, ένας κεντρικός υπολογιστής έχει την προώθηση, το φιλτράρισμα και την αποκατάσταση. Χρειάζεται μια σκόπιμη διαδρομή από κάθε συσκευή του υποκαταστήματος, και η εξωτερική σύνδεση VPN πρέπει να παραμένει προσβάσιμη μέσω του υποκείμενου δικτύου ακόμη και όταν το τούνελ είναι εκτός λειτουργίας. Στην πλευρά των κεντρικών, κάποιος πρέπει να ορίσει το υποδίκτυο του υποκαταστήματος, να αποδεχθεί την ταυτότητα της πύλης και να επιτρέψει συγκεκριμένους πόρους. Καμία πλευρά δεν λειτουργεί μόνη της.

Η διαδρομή επιστροφής είναι το μέρος που παραλείπεται. Μια διεύθυνση τούνελ για τον πελάτη δεν ανακοινώνει το υποδίκτυο πίσω από αυτήν, οπότε οι δρομολογητές των κεντρικών χρειάζονται διαδρομή που δείχνει στην πύλη VPN για αυτό το πρόθεμα.

Σε σχεδιασμό με δρομολόγηση, ο συγκεντρωτής προωθεί πακέτα για το πρόθεμα του υποκαταστήματος και η δρομολόγηση του ανώτερου LAN ξέρει πώς να στέλνει τις απαντήσεις πίσω. Σε σχεδιασμό με μετάφραση, η πηγή που βλέπουν τα κεντρικά ξαναγράφεται, κάτι που μπορεί να αφαιρέσει την ανάγκη μιας διαδρομής επιστροφής ενώ κρύβει ποιο μηχάνημα του υποκαταστήματος έστειλε την κίνηση. Αυτός ο συμβιβασμός ανήκει στο έγγραφο σχεδιασμού, γιατί τα αρχεία καταγραφής εφαρμογών και οι κανόνες πρόσβασης χάνουν την ταυτότητα ανά συσκευή μόλις μπει η μετάφραση.

Με δρομολόγηση ή με μετάφραση: επιλέξτε τη διαδρομή επιστροφής συνειδητά

Επιλέξτε δρομολόγηση όταν η ταυτότητα ανά συσκευή και η πολιτική ανά κεντρικό υπολογιστή έχουν σημασία και μπορείτε να συντηρείτε τη διαδρομή επιστροφής σε κάθε σχετικό δρομολογητή.

Επιλέξτε μετάφραση όταν δεν μπορείτε να προσθέσετε διαδρομές αλλά δέχεστε ότι τα κεντρικά βλέπουν μία διεύθυνση πηγής. Υπάρχουν μικτοί σχεδιασμοί και είναι δυσκολότεροι στη σκέψη, οπότε γράψτε ποια προθέματα δρομολογούνται και ποια μεταφράζονται. Έπειτα επαληθεύστε την επιλογή με καταγραφή και στα δύο άκρα αντί να εμπιστεύεστε την κατάσταση του τούνελ.

Ένας χρήσιμος έλεγχος είναι ασύμμετρος: ζητήστε έναν πόρο από συσκευή του υποκαταστήματος και μετά επιβεβαιώστε ότι η απάντηση φεύγει από τα κεντρικά προς το πρόθεμα του υποκαταστήματος. traceroute -n 10.60.4.20 από κεντρικό υπολογιστή δείχνει αν αυτή η διαδρομή περνά από την πύλη VPN.

Λειτουργήστε το ως υποδομή, όχι ως σύνδεση

Αποφασίστε πώς η πύλη ξεκινά, πιστοποιείται, ενημερώνεται και ανακάμπτει χωρίς κανέναν συνδεδεμένο. Η ανανέωση διαπιστευτηρίων, οι προτροπές πολλαπλών παραγόντων, η συμπεριφορά ύπνου και το ποιος ανταποκρίνεται όταν το υποκατάστημα χάνει την πρόσβαση γίνονται όλα λειτουργικά ερωτήματα. Αρκετά άτομα που μοιράζονται μία διαδρομή δικτύου δεν πρέπει να κληρονομούν τα προσωπικά προνόμια του χρήστη της πύλης, οπότε η εξουσιοδότηση πόρων, το εύρος καταγραφής και η πολιτική αποτυχίας χρειάζονται κατονομασμένο ιδιοκτήτη. Το να μοιράζεσαι λογαριασμό για να αποφύγεις την εγγραφή κάθε συσκευής δεν είναι σχεδιασμός.

Συγκρίνετε τη διάταξη με μια υποστηριζόμενη πύλη τοποθεσίας υπό τις ίδιες απαιτήσεις πριν δεσμευτείτε. Η επαναχρησιμοποίηση παλιού επιτραπέζιου υπολογιστή δεν αφαιρεί εργασία συντήρησης ή αποκατάστασης, και η τιμή μεταχειρισμένου δεν περιγράφει το λειτουργικό κόστος.

Επικυρώστε τις προβλεπόμενες εφαρμογές του υποκαταστήματος, την κίνηση επιστροφής τους και έναν απορριφθέντα προορισμό στο πλαίσιο εγκεκριμένου σχεδίου. Η επιτυχία μοιάζει με ιδιόκτητη υπηρεσία δικτύου με κατονομασμένη ταυτότητα υποκαταστήματος και ρητή πολιτική, όχι με παράθυρο πελάτη που λέει Συνδεδεμένο.