Windowsi VPN-lüüs: kolm tööd, kolm omanikku

Kolm funktsiooni aheldatakse kokku alati, kui keegi ütleb VPN-server: krüpteeritud tunneli lõpetamine, pakettide liigutamine võrkude vahel ja valikuliselt aadresside ümberkirjutamine. Windowsis elavad need virna eri osades, isegi kui üks masin teeb kõiki kolme. Igal on oma sisendid ja oma tõrkerežiim, ja igaühe saab anda erinevale tootele. Nende paberil eraldamine on odavaim viis hoida väike paigaldus mõistetavana.

Loetav kavand nimetab iga voolu omaniku, selle asemel et kirjeldada masinat rollina.

Lõpeta, saada edasi, tõlgi

RRAS haldab tunnelit Windowsi omases juhtumis: see autentib kasutaja, eraldab aadressi hulgast ja otsustab, millised sihtkohad on lubatud. Teine VPN-toode võib selle asemel omada kuulajat ja virtuaaladapterit, jättes Windowsile dekrüpteeritud pakettide edasisaatmise. Microsofti Remote Accessi dokumentatsioon eristab VPN-, saidi-saiti- ja marsruutimisrolle ning marsruutimisrolli paigaldamine ei loo teist VPN-identiteeti. Veel ühe VPN-rakenduse lisamine ei anna selle adapterit ka kõigile olemasolevatele lüüsifunktsioonidele.

Tõlkimine on kolmas ja kõige valikulisem töö. See tuleb pärast edasisaatmist ja muudab lähteaadressi, mida kaugvõrk näeb. Kas teil seda vaja on, sõltub sellest, mida sihtvõrk lähtena aktsepteerib, mitte sellest, et masinat nimetatakse VPN-lüüsiks.

Kellele kuuluvad adapter ja hulk

Kui mitu toodet jagavad hosti, vajavad neli asja igaüks ühte omanikku: kuulamisportid, adapteri eluiga, kliendi aadressihulk ja marsruudid. Adapter on see kohmakas, sest VPN-teenus võib selle dünaamiliselt luua ja ühenduse katkemisel hävitada. Selle liidese kohtlemine alaliselt nimetatud võrgukaardina ja reeglite kirjutamine selle nime vastu töötab kuni järgmise taasühendamiseni. Kasutage toote toetatud integreerimispunkti, selle asemel et liidese nimi kõvasti kodeerida.

Aadressihulk on teine kokkupõrge. Kaks toodet, mis jagavad kattuvaid vahemikke, tekitavad marsruutimise, mis näeb õige välja ja ei tarni midagi. Hoidke hulgad samas dokumendis marsruutidega, et muudatus ühes oleks nähtav teise vastu.

Säilita allikas või kirjuta see ümber

Kliendi lähteaadressi säilitamine hoiab nähtavuse kasutajate kaupa: logid, kvoodid ja tulemüürireeglid suudavad üht kasutajat teisest eristada. Hind on see, et siht-LAN vajab tagasiteed lüüsi poole ja keegi peab seda hooldama. Lähtekoha ümberkirjutamine NAT-iga kõrvaldab selle nõude ja kõrvaldab koos sellega ka nähtavuse. Otsustage teadlikult ja kirjutage üles, millist teavet ümberkirjutus varjab.

Juurdepääs privaatvõrgule, internetiväljund ja ühendused, mis lõpevad lüüsil endal, on kolm erinevat teed. Kõik ei vaja sama kohtlemist.

Kirjelda voolu ühe lausega

Üks lause peaks kirjeldama kavandit: milliseid kliente see teenus vastu võtab, milliseid ressursse see edasisaatmisreegel annab ja kuidas tagasitee voolu lõpetab. Kui lause vajab tõeks olemiseks teist NAT-kihti, on see tavaliselt märk, et varasemad tükid polnud lahendatud. Host on ka ühine tõrke- ja usalduspiir, nii et marsruudimuudatus võib mõjutada nii kasutajate juurdepääsu kui ka haldust. Viimase jaoks hoidke sõltumatut taastetee.

Hoidke rollide loendit konfiguratsiooni kõrval: milline toode lõpetab, milline saadab edasi, milline tõlgib ja kes saab igaüht muuta. Just see nimekiri teeb järgmise muudatuse ülevaatatavaks.

Kui lause muutub ebaselgeks, teeb veel üks tõlkekiht selle harva selgemaks. Ühe eemaldamine tavaliselt teeb.