Kun etäkäyttöasiakkaan on toimittava sivukonttorin yhdyskäytävänä

VPN:ään kytketty kannettava tietokone tavoittaa pääkonttorin. Samalla työpöydällä oleva tulostin ja tiedostopalvelin eivät tavoita, koska mikään ei välitä niiden paketteja siihen tunneliin tai tuo vastauksia takaisin. Asiakkaan muuttaminen sivukonttorin yhdyskäytäväksi on reititys- ja omistuspäätös ennen kuin se on kokoonpanopäätös. Laatikon protokollan nimi ei vastaa siihen, tuetaanko tätä roolia.

Mitä protokollan tarra ei kerro sinulle

OpenVPN dokumentoi sivustolta sivustolle -mallin, jossa liitin välittää kokonaisen aliverkon, ja Access Server toteuttaa sen yhdyskäytäväroolilla ja eksplisiittisellä reitityksellä. Toinen tuote, jota markkinoidaan SSL VPN:nä, voi tarjota vain etäkäyttäjätoimintoja ilman tuettua tapaa ilmoittaa asiakkaan takana olevaa verkkoa. Myös versiolla on merkitystä, sillä yhdessä julkaisussa oleva ominaisuus ei ole lupaus toisesta. Lue toteutus, jota todella ajat, ja kohtele toiselle tuotteelle kirjoitettua ohjetta vihjeenä, älä suunnitelmana.

Ensimmäiseksi ratkaistava kysymys on, tukeeko VPN:n omistaja välitysroolia lainkaan. Jos ei, mikään asiakkaan puolen reititys ei tee siitä tuettua.

Sopimuksella on kaksi puolta: sivukonttori ja pääkonttori

Sivukonttorin puolella yksi isäntä vastaa välityksestä, suodatuksesta ja palautumisesta. Se tarvitsee harkitun polun jokaisesta sivukonttorin laitteesta, ja ulomman VPN-yhteyden on pysyttävä tavoitettavana taustaverkon kautta myös tunnelin ollessa alhaalla. Pääkonttorin puolella jonkun on määriteltävä sivukonttorin aliverkko, hyväksyttävä yhdyskäytävän identiteetti ja sallittava tietyt resurssit. Kumpikaan puolisko ei toimi yksin.

Paluupolku on se osa, joka jätetään väliin. Asiakkaan tunneliosoite ei ilmoita sen takana olevaa aliverkkoa, joten pääkonttorin reitittimet tarvitsevat reitin, joka osoittaa kyseisen etuliitteen osalta VPN-yhdyskäytävään.

Reititetyssä mallissa keskittäjä välittää sivukonttorin etuliitteen paketit ja ylemmän LAN:n reititys tietää, miten vastaukset lähetetään takaisin. Käännetyssä mallissa lähde, jonka pääkonttori näkee, kirjoitetaan uudelleen, mikä voi poistaa yhden paluureitin tarpeen mutta piilottaa, mikä sivukonttorin kone liikenteen lähetti. Tämä kompromissi kuuluu suunnitteludokumenttiin, koska sovelluslokit ja käyttösäännöt menettävät laitekohtaisen identiteetin, kun käännös tulee peliin.

Reititetty vai käännetty: valitse paluupolku tietoisesti

Valitse reititetty, kun laitekohtainen identiteetti ja isäntäkohtainen käytäntö ovat tärkeitä ja voit ylläpitää paluureittiä jokaisella asiaankuuluvalla reitittimellä.

Valitse käännetty, kun et voi lisätä reittejä mutta voit hyväksyä, että pääkonttori näkee yhden lähdeosoitteen. Sekamalleja on olemassa ja niitä on vaikeampi hahmottaa, joten kirjoita muistiin, mitkä etuliitteet ovat reititettyjä ja mitkä käännettyjä. Varmista valinta sitten kaappauksella molemmissa päissä sen sijaan, että luottaisit tunnelin tilaan.

Hyödyllinen tarkistus on epäsymmetrinen: pyydä resurssia sivukonttorin laitteesta ja varmista sitten, että vastaus lähtee pääkonttorista kohti sivukonttorin etuliitettä. traceroute -n 10.60.4.20 pääkonttorin isännästä näyttää, kulkeeko tämä polku VPN-yhdyskäytävän kautta.

Käytä sitä infrastruktuurina, älä kirjautumisena

Päätä, miten yhdyskäytävä käynnistyy, todennetaan, päivitetään ja palautuu, kun kukaan ei ole kirjautuneena. Tunnistetietojen uusiminen, monivaiheiset kehotteet, lepokäyttäytyminen ja se, kuka vastaa, kun sivukonttori menettää pääsyn, muuttuvat kaikki operatiivisiksi kysymyksiksi. Useiden ihmisten, jotka jakavat yhden verkkopolun, ei pidä periä yhdyskäytävän käyttäjän henkilökohtaisia oikeuksia, joten resurssien valtuutus, lokituksen laajuus ja vikakäytäntö tarvitsevat nimetyn omistajan. Tilille jakaminen laitekohtaisen rekisteröinnin välttämiseksi ei ole suunnittelu.

Vertaa järjestelyä tuettuun sivustoyhdyskäytävään samoilla vaatimuksilla ennen sitoutumista. Vanhan pöytätietokoneen uudelleenkäyttö ei poista ylläpito- tai palautustyötä, eikä käytetyn hinta kuvaa käyttökustannuksia.

Validoi aiotut sivukonttorisovellukset, niiden paluuliikenne ja yksi estetty kohde hyväksytyn suunnitelman mukaisesti. Menestys näyttää omistetulta verkkopalvelulta, jolla on nimetty sivukonttorin identiteetti ja eksplisiittinen käytäntö, ei asiakasikkunalta, jossa lukee Yhdistetty.