Windowsin VPN-yhdyskäytävä: kolme työtä, kolme omistajaa

Kolme toimintoa niputetaan yhteen aina, kun joku sanoo VPN-palvelin: salatun tunnelin päättäminen, pakettien siirtäminen verkkojen välillä ja valinnaisesti osoitteiden uudelleenkirjoitus. Windowsissa ne asuvat pinon eri osissa, vaikka yksi kone tekisi kaikki. Jokaisella on omat syötteensä ja oma vikatilansa, ja jokainen voidaan antaa eri tuotteelle. Niiden erottaminen paperilla on halvin tapa pitää pieni käyttöönotto ymmärrettävänä.

Luettava suunnittelu nimeää jokaisen virtauksen omistajan sen sijaan, että kuvaisi konetta roolina.

Päätä, välitä, käännä

RRAS hoitaa tunnelin Windowsin alkuperäisessä tapauksessa: se todentaa käyttäjän, jakaa osoitteen poolista ja päättää, mitkä kohteet ovat sallittuja. Toinen VPN-tuote voi sen sijaan omistaa kuuntelijan ja virtuaaliadapterin ja jättää Windowsille salattujen pakettien välityksen. Microsoftin Remote Access -dokumentaatio erottaa VPN-, sivusto-sivusto- ja reititysroolit, eikä reititysroolin asentaminen luo toista VPN-identiteettiä. Toisen VPN-sovelluksen lisääminen ei myöskään anna sen adapteria kaikille olemassa oleville yhdyskäytävätoiminnoille.

Kääntäminen on kolmas ja valinnaisin työ. Se tulee välityksen jälkeen ja muuttaa lähdeosoitetta, jonka kaukoverkko näkee. Tarvitsetko sitä, riippuu siitä, mitä kohdeverkko hyväksyy lähteeksi, ei siitä, että konetta kutsutaan VPN-yhdyskäytäväksi.

Kuka omistaa adapterin ja poolin

Kun useat tuotteet jakavat isännän, neljä asiaa tarvitsevat kukin yhden omistajan: kuunteluportit, adapterin elinkaari, asiakkaiden osoitepooli ja reitit. Adapteri on hankala, koska VPN-palvelu voi luoda sen dynaamisesti ja tuhota sen yhteyden katketessa. Tämän liitännän kohteleminen pysyvästi nimettynä verkkokorttina ja sääntöjen kirjoittaminen sen nimeä vastaan toimii seuraavaan uudelleenyhdistämiseen asti. Käytä tuotteen tuettua integraatiopistettä sen sijaan, että kovakoodaisit liitännän nimen.

Osoitepooli on toinen yhteentörmäys. Kaksi tuotetta, jotka jakavat päällekkäisiä alueita, tuottavat reitityksen, joka näyttää oikealta eikä toimita mitään. Pidä poolit samassa asiakirjassa kuin reitit, jotta muutos toisessa näkyy toista vasten.

Säilytä lähde tai kirjoita se uudelleen

Asiakkaan lähdeosoitteen säilyttäminen pitää näkyvyyden käyttäjittäin: lokit, kiintiöt ja palomuurisäännöt voivat erottaa yhden käyttäjän toisesta. Hinta on, että kohde-LAN tarvitsee paluureitin yhdyskäytävää kohti ja jonkun on ylläpidettävä sitä. Lähteen uudelleenkirjoitus NAT:lla poistaa tämän vaatimuksen ja poistaa näkyvyyden sen mukana. Valitse tietoisesti ja kirjoita muistiin, mitä tietoa uudelleenkirjoitus kätkee.

Pääsy yksityisverkkoon, internetpoistuma ja yhteydet, jotka päättyvät itse yhdyskäytävään, ovat kolme eri polkua. Kaikki eivät tarvitse samaa kohtelua.

Kuvaa virtaus yhdellä lauseella

Yhden lauseen pitäisi kuvata suunnittelu: mitkä asiakkaat tämä palvelu hyväksyy, mitä resursseja kyseinen välityskäytäntö myöntää ja miten paluupolku täydentää virtauksen. Jos lause tarvitsee toisen NAT-kerroksen ollakseen totta, se on yleensä merkki siitä, ettei aiempia osia ollut ratkaistu. Isäntä on myös yhteinen vikaantumis- ja luottamusraja, joten reititysmuutos voi vaikuttaa sekä käyttäjien pääsyyn että ylläpitoon. Pidä jälkimmäiselle erillinen palautumispolku.

Pidä rooliluetteloa asetusten vieressä: mikä tuote päättää, mikä välittää, mikä kääntää ja kuka voi muuttaa kutakin. Juuri se luettelo tekee seuraavasta muutoksesta tarkistettavan.

Kun lause muuttuu epäselväksi, uuden käännöskerroksen lisääminen harvoin selkeyttää sitä. Yhden poistaminen yleensä tekee.