Kiam fora-alira kliento devas agi kiel filia enirejo

Tekkomputilo konektita al VPN povas atingi la ĉefsidejon. La printilo kaj dosieroservilo sur la sama skribotablo ne povas, ĉar nenio plusendas iliajn pakojn en tiun tunelon nek revenigas la respondojn. Transformi la klienton en filian enirejon estas decido pri enkursigado kaj posedado antaŭ ol ĝi estas decido pri agordo. La protokolonomo sur la skatolo ne respondas, ĉu tiu rolo estas subtenata.

Kion la protokola etikedo ne diras al vi

OpenVPN dokumentas retejan-al-retejan dezajnon, en kiu konektilo plusendas tutan subreton, kaj Access Server realigas ĝin per enireja rolo kaj eksplicita enkursigado. Alia produkto vendata kiel SSL VPN eble proponas nur fora-uzantajn funkciojn, sen subtenata maniero anonci reton malantaŭ la kliento. Ankaŭ la versio gravas, ĉar funkcio en unu eldono ne estas promeso pri alia. Legu la realigon, kiun vi efektive funkciigas, kaj traktu recepton skribitan por alia produkto kiel indikon, ne kiel dezajnon.

La demando unue solvenda estas, ĉu la posedanto de la VPN entute subtenas la plusendan rolon. Se ne, neniu kvanto de enkursigado ĉe la kliento faras ĝin subtenata.

La kontrakto havas du flankojn: filio kaj ĉefsidejo

Ĉe la filia flanko, unu gastigo posedas plusendadon, filtradon kaj restaŭradon. Ĝi bezonas pripensitan vojon de ĉiu filia aparato, kaj la ekstera VPN-konekto devas resti atingebla tra la suba reto eĉ dum la tunelo estas malaktiva. Ĉe la flanko de la ĉefsidejo, iu devas difini la filian subreton, akcepti la identecon de la enirejo kaj permesi specifajn rimedojn. Neniu duono funkcias sola.

La reena vojo estas la parto, kiu estas preterlasata. Tunela adreso por la kliento ne anoncas la subreton malantaŭ ĝi, do la enkursigiloj de la ĉefsidejo bezonas vojon, kiu montras al la VPN-enirejo por tiu prefikso.

En enkursigita dezajno, la koncentrilo plusendas pakojn por la filia prefikso kaj la enkursigado de la supra LAN scias, kiel sendi respondojn reen. En tradukita dezajno, la fonto, kiun la ĉefsidejo vidas, estas reskribata, kio povas forigi la bezonon de unu reena vojo dum ĝi kaŝas, kiu filia maŝino sendis la trafikon. Tiu kompromiso apartenas al la dezajna dokumento, ĉar aplikaĝaj protokoloj kaj alirreguloj perdas la identecon po aparato, kiam tradukado eniras la ludon.

Enkursigita aŭ tradukita: elektu la reenan vojon konscie

Elektu enkursigitan, kiam identeco po aparato kaj politiko po gastigo gravas kaj vi povas prizorgi la reenan vojon sur ĉiu koncerna enkursigilo.

Elektu tradukitan, kiam vi ne povas aldoni vojojn sed povas akcepti, ke la ĉefsidejo vidas unu fontan adreson. Miksitaj dezajnoj ekzistas kaj estas pli malfacile pripenseblaj, do skribu, kiuj prefiksoj estas enkursigitaj kaj kiuj tradukitaj. Poste kontrolu la elekton per kaptaĵo ĉe ambaŭ finoj anstataŭ fidi la tunelan staton.

Utila kontrolo estas nesimetria: petu rimedon de filia aparato, poste konfirmu, ke la respondo forlasas la ĉefsidejon direkte al la filia prefikso. traceroute -n 10.60.4.20 de gastigo en la ĉefsidejo montras, ĉu tiu vojo iras tra la VPN-enirejo.

Funkciigu ĝin kiel infrastrukturon, ne kiel salutaĵon

Decidu, kiel la enirejo startas, aŭtentikigas, ĝisdatigas kaj restaŭras, kiam neniu estas ensalutinta. Renovigo de akreditaĵoj, plurbakaj instigoj, dorma konduto kaj kiu reagas, kiam la filio perdas aliron, ĉiuj fariĝas operaciaj demandoj. Pluraj homoj dividantaj unu retan vojon ne rajtas heredi la personajn privilegiojn de la enireja uzanto, do aŭtorizado de rimedoj, amplekso de protokolado kaj la fiaskpolitiko bezonas nomitan posedanton. Dividi konton por eviti registradon po aparato ne estas dezajno.

Komparu la aranĝon kun subtenata reteja enirejo sub la samaj postuloj antaŭ ol sindevontigi. Reuzi malnovan labortablan komputilon ne forigas prizorgan aŭ restaŭran laboron, kaj la prezo de dua mano ne priskribas la funkciigajn kostojn.

Validigu la celitajn filiajn aplikaĵojn, ilian reenan trafikon kaj unu rifuzitan celon laŭ aprobita plano. Sukceso aspektas kiel propra reta servo kun nomita filia identeco kaj eksplicita politiko, ne kiel klienta fenestro diranta Konektita.