Kui kaugjuurdepääsu klient peab toimima harukontori lüüsina

VPN-iga ühendatud sülearvuti jõuab peakontorisse. Samal laual olev printer ja failiserver ei jõua, sest miski ei edasta nende pakette sellesse tunnelisse ega too vastuseid tagasi. Kliendi muutmine harukontori lüüsiks on marsruutimis- ja vastutusoos, enne kui see on konfiguratsiooniotsus. Karbil olev protokolli nimi ei vasta sellele, kas see roll on toetatud.

Mida protokolli silt teile ei ütle

OpenVPN kirjeldab saidilt saidile lahendust, kus ühendaja edastab terve alamvõrgu, ja Access Server rakendab seda lüüsirolli ja selge marsruutimisega. Teine toode, mida turustatakse SSL VPN-ina, võib pakkuda ainult kaugkasutaja funktsioone, ilma toetatud võimaluseta klientdipoolset võrku teavitada. Ka versioonil on tähtsust, sest ühes väljaandes olev funktsioon ei ole lubadus teise kohta. Lugege rakendust, mida te tegelikult käitate, ja käsitlege teise toote jaoks kirjutatud retsepti vihje, mitte kavandina.

Kõigepealt tuleb otsustada, kas VPN-i omanik üldse toetab edastamise rolli. Kui ei, ei muuda ükski kliendipoolne marsruutimine seda toetatuks.

Lepingul on kaks poolt: harukontor ja peakontor

Harukontori poolel vastutab üks host edastamise, filtreerimise ja taastamise eest. See vajab läbimõeldud teed igast harukontori seadmest ning välimine VPN-ühendus peab jääma alusvõrgu kaudu kättesaadavaks ka siis, kui tunnel on maas. Peakontori poolel peab keegi määrama harukontori alamvõrgu, aktsepteerima lüüsi identiteedi ja lubama konkreetseid ressursse. Kumbki pool ei toimi üksi.

Tagasitee on see osa, mis jäetakse vahele. Kliendi tunneliaadress ei teata selle taga olevat alamvõrku, seega vajavad peakontori ruuterid marsruuti, mis osutab selle prefiksi jaoks VPN-i lüüsile.

Marsruuditud lahenduses edastab koondur harukontori prefiksi pakette ja ülemise LAN-i marsruutimine teab, kuidas vastuseid sinna tagasi saata. Tõlgitud lahenduses kirjutatakse ümber allikas, mida peakontor näeb, mis võib ühe tagasitee vajaduse kõrvaldada, kuid varjab, milline harukontori masin liikluse saatis. See kompromiss kuulub kavandamisdokumenti, sest rakenduste logid ja juurdepääsureeglid kaotavad seadmepõhise identiteedi, kui tõlge mängu tuleb.

Marsruuditud või tõlgitud: valige tagasitee teadlikult

Valige marsruuditud, kui seadmepõhine identiteet ja hostipõhine poliitika on olulised ning suudate tagasiteed igal asjakohasel ruuteril hoida.

Valige tõlgitud, kui te ei saa marsruute lisada, kuid nõustute, et peakontor näeb üht lähteaadressi. Segalahendusi on olemas ja neist on raskem mõelda, seega kirjutage üles, millised prefiksid on marsruuditud ja millised tõlgitud. Seejärel kontrollige valikut mõlemas otsas tehtud salvestisega, selle asemel et usaldada tunneli olekut.

Kasulik kontroll on asümmeetriline: küsige ressurssi harukontori seadmest ja kinnitage siis, et vastus lahkub peakontorist harukontori prefiksi suunas. traceroute -n 10.60.4.20 peakontori hostist näitab, kas see tee läheb VPN-i lüüsi kaudu.

Käitage seda infrastruktuurina, mitte sisselogimisena

Otsustage, kuidas lüüs käivitub, autendib, uueneb ja taastub, kui keegi pole sisse loginud. Volituste uuendamine, mitmefaktorilised viipad, une käitumine ja see, kes reageerib, kui harukontor kaotab juurdepääsu, muutuvad kõik tööküsimusteks. Mitmed inimesed, kes jagavad üht võrguteed, ei tohi pärida lüüsi kasutaja isiklikke privileege, seega vajavad ressursi volitamine, logimise ulatus ja tõrkepoliitika nimetatud omanikku. Konto jagamine, et vältida iga seadme registreerimist, ei ole kavand.

Võrrelge seda lahendust toetatud saidilüüsiga samadel nõuetel enne kohustumist. Vanade lauaarvutite taaskasutus ei kõrvalda hooldus- ega taastetööd ning teise ringi hind ei kirjelda kasutuskulu.

Valideerige kavandatud harukontori rakendused, nende tagasiliiklus ja üks keelatud sihtkoht heakskiidetud plaani kohaselt. Edu näeb välja nagu omaette võrguteenus nimetatud harukontori identiteedi ja selge poliitikaga, mitte kliendiaken kirjega Ühendatud.