Wannear’t in remote-toegongskliïnt as filiaalpoarte fungearje moat

In laptop dy’t oan in VPN ferbûn is, kin it haadkantoar berikke. De printer en de triemtsjinner op itselde buro kinne dat net, om’t neat harren pakketten yn dy tunnel trochstjoert of de antwurden weromhellet. It omsetten fan de kliïnt yn in filiaalpoarte is in routing- en eigendomsbeslissing foardat it in konfiguraasjebeslissing is. De protokolnamm op ’e doaze antwurdet net oft dy rol stipe wurdt.

Wat it protokol-label dy net fertelt

OpenVPN dokumintearret in side-oan-side-ûntwerp wêryn’t in ferbiner in hiel subnet trochstjoert, en Access Server ymplemintearret it mei in poarterol en eksplisite routing. In oar produkt dat as SSL VPN ferkocht wurdt, biedt miskien allinnich funksjes foar remote-brûkers, sûnder in stipe wize om in netwurk efter de kliïnt oan te kundigjen. De ferzje makket ek út, want in funksje yn ien útjefte is gjin belofte oer in oare. Lês de ymplemintaasje dy’t jo echt draaie, en behannelje in resept skreaun foar in oar produkt as in hint, net as in ûntwerp.

De fraach dy’t earst besljochte wurde moat, is oft de VPN-eigner de trochstjoerrol hielendal stipet. Sa net, dan makket gjin hoemannichte routing oan ’e kliïntkant it stipe.

It kontrakt hat twa kanten: filiaal en haadkantoar

Oan ’e filiaalkant is it ien host dy’t it trochstjoeren, it filterjen en it herstel besit. It hat in bewuste paad fan elk filiaalapparaat nedich, en de bûtenste VPN-ferbining moat troch it ûnderlizzende netwurk berikber bliuwe, sels wylst de tunnel del is. Oan ’e haadkantoarkant moat immen it filiaalsubnet definiearje, de identiteit fan ’e poarte akseptearje en spesifike boarnen tastean. Gjin fan beide helten wurket allinnich.

It werompaad is it diel dat oerslein wurdt. In tunneladres foar de kliïnt kundiget it subnet dêr’t efter sit net oan, dat de routers fan it haadkantoar hawwe in rûte nedich dy’t foar dat foarheaksel nei de VPN-poarte wiist.

Yn in rûte-ûntwerp stjoert de konsintrator pakketten foar it filiaalfoarheaksel troch, en de routing fan ’e boppeste LAN wit hoe’t de antwurden weromstjoerd wurde. Yn in oerset ûntwerp wurdt de boarne dy’t it haadkantoar sjocht, oerskreaun, wat de needsaak foar ien weromrûte weinimme kin, mar ferberget hokker filiaalmachine it ferkear stjoerd hat. Dat kompromis heart yn it ûntwerpdokumint, om’t applikaasjelogboeken en tagongsregels de identiteit per apparaat ferlieze sadree’t de oersetting yn it spul komt.

Rûte of oerset: kies it werompaad bewust

Kies rûte as identiteit per apparaat en belied per host fan belang binne en jo de weromrûte op elke relevante router ûnderhâlde kinne.

Kies oerset as jo gjin rûtes tafoegje kinne, mar akseptearje dat it haadkantoar ien boarneadres sjocht. Mingde ûntwerpen bestean en binne lestiger om oer te redenearjen, dus skriuw op hokker foarheaksels rûte en hokker oerset binne. Ferifiearje dan de kar mei in opname oan beide kanten ynstee fan op de tunnelstatus te fertrouwen.

In nuttige kontrôle is asymmetrysk: freegje in boarne oan fan in filiaalapparaat, en befêstigje dan dat it antwurd it haadkantoar ferlit rjochting it filiaalfoarheaksel. traceroute -n 10.60.4.20 fan in host yn it haadkantoar sjen lit oft dat paad troch de VPN-poarte giet.

Operearje it as ynfrastruktuer, net as in oanmelding

Beslis hoe’t de poarte start, autentisearret, bywurket en herstelt as nimmen oanmeld is. Fernijing fan bewiisstikken, multifaktor-oanfragen, sliepgedrach en wa’t reagearret as it filiaal de tagong ferliest, wurde allegear operasjonele fragen. Ferskate minsken dy’t ien netwurkpaad diele, meie de persoanlike privileezjes fan ’e poartebrûker net ervje, dat boarnautorisatie, logomfang en it flaterbelied hawwe in neamde eigner nedich. In akkount diele om registraasje per apparaat te foarkommen is gjin ûntwerp.

Fergelykje de opstelling mei in stipe sidepoarte ûnder deselde easken foardat jo jo ferbine. It werbrûken fan in âlde desktop hellet gjin ûnderhâlds- of herstelwurk fuort, en de twaddehâns priis beskriuwt de operasjonele kosten net.

Falidearje de bedoelde filiaalapplikaasjes, har weromferkear en ien wegere bestimming ûnder in goedkard plan. Sukses liket op in eigen netwurkstsjinst mei in neamde filiaalidentiteit en in eksplisyt belied, net op in kliïntfinster dat Ferbûn seit.