SoftEther VPN Azure: μια διαδρομή μέσω αναμεταδότη, όχι μια ανοιχτή θύρα

Ο διακομιστής σας βρίσκεται πίσω από έναν δρομολογητή που δεν μπορείτε να ρυθμίσετε, οπότε το προφανές σχέδιο προώθησης θύρας δεν είναι διαθέσιμο. VPN Azure υπάρχει ακριβώς για αυτή την κατάσταση και τη λύνει αντιστρέφοντας την κατεύθυνση της πρώτης σύνδεσης: ο διακομιστής συνδέεται προς τα έξω σε έναν αναμεταδότη και οι πελάτες φτάνουν στον αναμεταδότη αντί στον διακομιστή. Η κατανόηση αυτής της αντιστροφής εξηγεί τόσο τι διορθώνει η υπηρεσία όσο και κάθε όριο που θα συναντήσετε αργότερα.

Τι αλλάζει στη διαδρομή

Με έναν συμβατικό ακροατή, ένας πελάτης ανοίγει σύνδεση TCP σε μια δημόσια διεύθυνση που ο δρομολογητής σας προωθεί στον διακομιστή. Με τον αναμεταδότη, ο διακομιστής διατηρεί μια εξερχόμενη σύνδεση προς την υποδομή του αναμεταδότη, και ο αναμεταδότης δέχεται συνδέσεις πελατών και μεταβιβάζει το φορτίο τους στον διακομιστή που περιμένει. Δεν ανοίγει καμία εισερχόμενη θύρα, δεν απαιτείται στατική διεύθυνση και ο δρομολογητής μένει ανέγγιχτος. Από την οπτική του τείχους προστασίας ο διακομιστής είναι ένας συνηθισμένος εξερχόμενος πελάτης, γι' αυτό τα περιοριστικά δίκτυα τον επιτρέπουν.

Ο αναμεταδότης εκχωρεί σε αυτόν τον διακομιστή ένα όνομα στο δικό του domain, και οι πελάτες ρυθμίζονται να συνδέονται εκεί.

Αυτό το όνομα ανήκει στην υπηρεσία αναμεταδότη, η οποία δεν είναι Microsoft Azure VPN Gateway παρόλο που και οι δύο ονομάζονται Azure κάτι. Η αντιμετώπισή τους ως εναλλάξιμων παράγει μια ρύθμιση που δεν μπορεί να λειτουργήσει.

Ποια πρωτόκολλα επιβιώνουν από τον αναμεταδότη

Ο αναμεταδότης μεταφέρει το πρωτόκολλο SoftEther και το έργο τεκμηριώνει το SSTP ως επιλογή πελάτη, κάτι χρήσιμο επειδή τα Windows περιλαμβάνουν πελάτη SSTP. Δεν γίνεται όμως γενικός φορέας για κάθε ακροατή στον κεντρικό υπολογιστή: ένας ακροατής OpenVPN, ένας ανταποκριτής IPsec και μια υπηρεσία L2TP χρειάζονται ο καθένας το δικό του προσβάσιμο τελικό σημείο, και κανένα από αυτά δεν μεταφέρεται μέσω του αναμεταδότη μόνο επειδή ο διακομιστής SoftEther είναι συνδεδεμένος.

Επομένως τα προφίλ πελατών δείχνουν το όνομα του αναμεταδότη αντί για τη διεύθυνση του διακομιστή, και ένα υπάρχον προφίλ φτιαγμένο για άμεση σύνδεση δεν θα λειτουργήσει χωρίς αλλαγές. Ελέγξτε τη λίστα υποστηριζόμενων πελατών για την έκδοση που εκτελείτε πριν σχεδιάσετε γύρω από ένα πρωτόκολλο που ο αναμεταδότης δεν μεταφέρει.

Τι δεν κάνει ο αναμεταδότης για εσάς

Ο αναμεταδότης είναι μεταφορά. Δεν δημιουργεί χρήστες, εικονικούς κόμβους, πολιτικές πρόσβασης ή διαδρομές και δεν γνωρίζει τίποτα για τα ιδιωτικά δίκτυα πίσω από τον διακομιστή σας. Αν οι απομακρυσμένοι πελάτες πρέπει να φτάσουν σε υποδίκτυο LAN, ο διακομιστής εξακολουθεί να χρειάζεται τη ρύθμιση γέφυρας ή δρομολόγησης, τη διαδρομή επιστροφής και την πολιτική του τείχους προστασίας που το κάνουν να λειτουργεί. Τα επικαλυπτόμενα σχέδια διευθύνσεων στα δύο άκρα είναι επίσης αόρατα στον αναμεταδότη και παραμένουν δικό σας πρόβλημα προς επίλυση.

Και οι υποστηριζόμενες ρυθμίσεις ασφαλείας είναι δικές σας επιλογές. Η τεκμηρίωση του έργου περιλαμβάνει παραδείγματα παλαιότερων πλατφορμών, και η αντιγραφή παρωχημένων ρυθμίσεων κρυπτογράφησης ή πιστοποιητικών από ένα παλιό στιγμιότυπο οθόνης είναι καλός τρόπος να φτιάξετε μια σήραγγα που κανείς δεν μπορεί να ελέγξει. Χρησιμοποιήστε τις τρέχουσες οδηγίες για την έκδοση που εκτελείτε.

Η επικύρωση πιστοποιητικών και η ταυτοποίηση χρηστών παραμένουν ευθύνη του διακομιστή, και ο αναμεταδότης δεν υποκαθιστά ποτέ κανένα από τα δύο.

Λειτουργήστε το ως εξάρτηση

Η διαθεσιμότητα περιλαμβάνει πλέον τρίτο μέρος. Όταν ο αναμεταδότης δεν είναι προσβάσιμος, οι πελάτες δεν μπορούν να συνδεθούν ανεξάρτητα από το πόσο υγιής είναι ο διακομιστής σας, και η βλάβη φαίνεται από έξω σαν πρόβλημα πελάτη. Παρακολουθείτε τη διαδρομή του αναμεταδότη ξεχωριστά από την υγεία του διακομιστή και κρατήστε ένα τεκμηριωμένο εφεδρικό σχέδιο, όπως έναν άμεσο ακροατή σε άλλη διεύθυνση, για την ημέρα που θα μετρήσει.

Η καθυστέρηση ακολουθεί τη γεωγραφία του αναμεταδότη και όχι την εγγύτητα των χρηστών σας, κάτι που αξίζει να μετρηθεί πριν υποσχεθείτε διαδραστική απόδοση μέσω αυτού.

Επαληθεύστε την ταυτότητα του διακομιστή και μετά μια πραγματική διαδρομή εφαρμογής, όχι μόνο ένα επιτυχές πανό σύνδεσης, και ελέγξτε αν ο πόρος που χρειάζεστε είναι προσβάσιμος μέσω της οικογένειας διευθύνσεων που μεταφέρει ο αναμεταδότης. Καταγράψτε το όνομα του αναμεταδότη, το πρωτόκολλο που χρησιμοποιήθηκε και το εφεδρικό σχέδιο, γιατί αυτά τα τρία γεγονότα απαντούν στις περισσότερες μελλοντικές ερωτήσεις για αυτή τη ζεύξη.