Urruneko sarbide bezero batek sukurtsal atebide gisa jardun behar duenean

VPN batera konektatutako ordenagailu eramangarri batek egoitza nagusia har dezake. Mahai bereko inprimagailuak eta fitxategi-zerbitzariak ezin dute, ezerk ez baitu haien paketeak tunel horretara aurreratzen ezta erantzunak itzultzen ere. Bezeroa sukurtsal atebide bihurtzea bideratze- eta jabetza-erabakia da konfigurazio-erabakia izan aurretik. Kaxan dagoen protokolo-izenak ez du erantzuten rol hori onartzen den ala ez.

Protokolo-etiketak ez dizuna esaten

OpenVPN gunez guneko diseinu bat dokumentatzen du, non konektore batek azpisare oso bat aurreratzen duen, eta Access Server-ek atebide-rolarekin eta bideratze esplizituarekin gauzatzen du. SSL VPN gisa merkaturatutako beste produktu batek urruneko erabiltzaile-funtzioak soilik eskain ditzake, bezeroaren atzeko sare bat iragartzeko modu onarturik gabe. Bertsioak ere badu garrantzia, argitalpen bateko funtzio bat ez baita beste bati buruzko promesa. Irakurri benetan exekutatzen duzun inplementazioa, eta beste produktu baterako idatzitako errezeta bat argibide gisa hartu, ez diseinu gisa.

Lehenik argitu beharreko galdera da VPNaren jabeak aurreratze-rola onartzen ote duen. Hala ez bada, bezeroaren alboko bideratzeak ez du onartutzat jotzen.

Kontratuak bi alde ditu: sukurtsala eta egoitza nagusia

Sukurtsalaren aldean, ostalari bakar batek du aurreratzearen, iragazketaren eta berreskuratzearen ardura. Sukurtsal gailu bakoitzetik bide deliberatu bat behar du, eta kanpoko VPN konexioak azpiko sarearen bidez irisgarri jarraitu behar du, tunela behera dagoen bitartean ere. Egoitza nagusiaren aldean, norbaitek sukurtsal azpisarea definitu, atebidearen identitatea onartu eta baliabide zehatzak baimendu behar ditu. Inongo erdiak ez du bakarrik funtzionatzen.

Itzulera-bidea da saltatzen den zatia. Bezeroarentzako tunel-helbide batek ez du atzean dagoen azpisarea iragartzen, beraz, egoitza nagusiko bideratzaileek aurrizki horretarako VPN atebidera seinalatzen duen bide bat behar dute.

Bideratutako diseinu batean, kontzentratzaileak sukurtsal aurrizkiaren paketeak aurreratzen ditu eta goiko LAN bideratzeak badaki erantzunak nola itzuli. Itzulitako diseinu batean, egoitza nagusiak ikusten duen iturria berridazten da, eta horrek itzulera-bide bat kentzea lor dezake, baina trafikoa zein sukurtsal-makinak bidali zuen ezkutatzen du. Konpentsazio hori diseinu-dokumentuan dagokio, aplikazio-erregistroek eta sarbide-arauak gailuko identitatea galtzen baitute itzulpena martxan jartzean.

Bideratua edo itzulia: aukeratu itzulera-bidea jakinda

Aukeratu bideratua gailuko identitatea eta ostalariko politika garrantzitsuak direnean eta itzulera-bidea bideratzaile egoki bakoitzean mantendu dezakezunean.

Aukeratu itzulia bideak gehitu ezin dituzunean, baina egoitza nagusiak iturburu-helbide bakarra ikustea onartzen duzunean. Diseinu mistoak badaude eta zailagoak dira arrazoitzeko, beraz, idatzi zein aurrizki diren bideratuak eta zein itzuliak. Gero, egiaztatu aukera bi muturretan egindako harrapaketa batekin, tunelaren egoeran fidatu beharrean.

Egiaztapen erabilgarri bat asimetrikoa da: eskatu baliabide bat sukurtsal gailu batetik eta gero berretsi erantzunak egoitza nagusia utzi eta sukurtsal aurrizkira doala. traceroute -n 10.60.4.20 egoitza nagusiko ostalari batetik erakusten du bide hori VPN atebidetik igarotzen den ala ez.

Erabili azpiegitura gisa, saioa hasi gisa ez

Erabaki atebidea nola abiatu, autentifikatu, eguneratu eta berreskuratzen den inor saioa hasi gabe. Kredentzialen berritzeak, faktore anizkoitzeko eskariek, lo-portaerak eta sukurtsalak sarbidea galtzen duenean nork erantzuten duen eragiketa-galdera bihurtzen dira. Sare-bide bat partekatzen duten hainbat pertsonak ezin dute atebide-erabiltzailearen pribilegio pertsonalak oinordetzan hartu, beraz, baliabideen baimenak, erregistro-eremuak eta hutsegite-politikak izendatutako jabe bat behar dute. Gailu bakoitzaren erregistroa saihesteko kontu bat partekatzea ez da diseinu bat.

Konparatu antolaketa hau onartutako gune-atebide batekin baldintza beretan konpromisoa hartu aurretik. Mahaigaineko ordenagailu zahar bat berrerabiltzeak ez du mantentze- edo berreskuratze-lana kentzen, eta bigarren eskuko prezioak ez du ustiapen-kostua deskribatzen.

Balidatu sukurtsal aplikazio aurreikusitak, haien itzulera-trafikoa eta baztertutako helmuga bat onartutako plan baten arabera. Arrakastak itxura hau du: izendatutako sukurtsal identitatea eta politika esplizitua dituen sare-zerbitzu propio bat, ez Konektatuta esaten duen bezero-leiho bat.