Accès distant ou VPN site à site : lequel choisir ?

Un salarié en déplacement et une agence ont besoin de tunnels différents, et le mauvais choix produit une conception qui fonctionne en laboratoire et échoue le premier lundi. L’accès distant relie un appareil à une passerelle. Le site à site relie deux passerelles qui représentent des réseaux. La liste de contrôle ci-dessous tranche laquelle des deux l’exigence décrit réellement.

Qui compose, et ce qui se trouve derrière l’appelant

En accès distant, un logiciel sur l’ordinateur portable ou le téléphone établit le tunnel, et la passerelle authentifie un utilisateur, un appareil ou les deux avant d’attribuer une adresse et des routes. En site à site, des routeurs, des pare-feu ou des passerelles cloud établissent la connexion, et les appareils derrière eux utilisent le routage ordinaire au lieu d’exécuter un client. Cette différence décide qui porte la disponibilité du tunnel : l’appareil d’un salarié dans le premier cas, un équipement administré dans le second. Elle décide aussi si l’authentification décrit une personne ou un réseau.

Arrêtez-vous ici si l’exigence est que chaque machine d’un bureau atteigne un autre bureau sans configuration par appareil. C’est du site à site, et une pile de connexions d’accès distant est un piètre substitut.

Adressage et chemin de retour

Planifiez des plages locales et distantes distinctes. Deux sites peuvent utiliser le même sous-réseau privé, et la conception a alors besoin d’une traduction ou d’une renumérotation avant que le routage soit sans ambiguïté. Un routeur domestique qui utilise la même plage que le siège crée le même problème pour un télétravailleur. Le chevauchement est assez courant pour que sa vérification fasse partie de la première conversation.

Le chemin de retour compte autant que le chemin sortant. Un serveur peut recevoir une requête et n’avoir malgré tout aucune route vers le réseau du client.

Documentez quel routeur connaît le préfixe distant, surtout avec des réseaux cloud et plusieurs passerelles. Une icône de tunnel verte ne peut pas dire si une destination dispose d’un chemin de retour fonctionnel, et un ping dans un seul sens non plus. En accès distant, la passerelle possède généralement la route du pool ; en site à site, chaque routeur intermédiaire qui porte le préfixe doit être d’accord. La traduction peut masquer une route manquante jusqu’à ce qu’une application qui intègre des adresses casse.

La sortie internet est une décision distincte

L’accessibilité privée n’exige pas que le tunnel transporte la navigation publique. Que le trafic web ordinaire sorte par la passerelle est une seconde décision, prise pour chaque conception et consignée dans le profil du client ou dans la configuration du site.

Le tunnel complet et le tunnel fractionné répondent à cette question, pas à celle de l’accès distant contre le site à site. Les noms internes ont besoin d’un DNS adapté dans les deux conceptions, car un résolveur public n’a pas de réponse pour un nom d’hôte de bureau privé. Pousser un résolveur et pousser une route par défaut sont des réglages liés, et modifier l’un sans l’autre produit des pannes qui ressemblent à des problèmes de DNS.

Servez-vous de la topologie pour circonscrire la panne

Un ordinateur portable nomade perd l’accès au niveau du client, de son compte ou de son réseau local. Une agence entière perd l’accès au niveau des chemins et des passerelles partagés.

Vérifiez d’abord l’établissement du tunnel, puis les routes, puis le trafic autorisé, puis la résolution de noms, puis la connexion à l’application, et arrêtez-vous à la première étape qui échoue.ip route get 10.60.8.15 répond à la question du routage avant que vous lisiez un seul journal d’application. Les réglages de chiffrement ne corrigent pas une erreur de droits sur un partage de fichiers, et un ping qui fonctionne ne prouve pas qu’une application est autorisée. Tenir l’ordre fixe évite les changements de configuration aléatoires qui transforment une panne en trois.

Enfin, gardez les définitions droites quand vous lisez la documentation d’un fournisseur : un serveur de sortie internet commercial est un service différent de la passerelle privée d’une entreprise et ne donne aucun accès au réseau de cette entreprise.