Windows VPN-gateway: trije taken, trije eigners

Trije funksjes wurde byinoar brocht as immen VPN-tsjinner seit: de fersifere tunnel beëinigje, pakketten tusken netwurken ferpleatse en opsjoneel adressen oerskriuwe. Op Windows libje dy yn ferskillende dielen fan ’e stapel, sels as ien masine se allegear docht. Elk hat syn eigen ynfier en syn eigen wize fan mislearjen, en elk kin oan in oar produkt jûn wurde. Se op papier skiede is de goedkeapste manier om in lytse útrulling begryplik te hâlden.

In lêsber ûntwerp neamt de eigner fan elke stream ynstee fan ’e masine as in rol te beskriuwen.

Beëinigje, trochstjoere, oersetten

RRAS behannelt de tunnel foar it Windows-eigen gefal: it ferifiearret de brûker, jout in adres út in poel ta en beslút hokker bestimmingen tastien binne. In oar VPN-produkt kin ynstee de lústerder en de firtuele adapter besitte, wylst Windows de ûntsiferre pakketten trochstjoert. De Remote Access-dokumintaasje fan Microsoft skiedt VPN-, side-oan-side- en routearringsrollen, en it ynstallearjen fan ’e routearringsrol makket gjin twadde VPN-identiteit. It tafoegjen fan noch in VPN-applikaasje jout syn adapter ek net oan alle besteande gateway-funksjes.

Oersetten is de tredde en meast opsjonele taak. It komt nei it trochstjoeren en feroaret it boarneadres dat it fiere netwurk sjocht. Oft jo it nedich hawwe, hinget ôf fan wat it bestimmingsnetwurk as boarne akseptearret, net fan it feit dat de masine in VPN-gateway neamd wurdt.

Wa is eigner fan ’e adapter en de poel

As ferskate produkten de host diele, hawwe fjouwer saken elk ien eigner nedich: lústerpoarten, libbensdoer fan ’e adapter, klantadrespoel en routes. De adapter is de ûnhandige, om’t in VPN-tsjinst him dynamysk oanmeitsje en by ôfbrekken ferneatigje kin. Dy ynterface as in permanint neamde netwurkkaart behannelje en regels tsjin syn namme skriuwe wurket oant de folgjende werferbining. Brûk it stipe yntegraasjepunt fan it produkt ynstee fan in ynterfacenamme hurd te kodearjen.

De adrespoel is de twadde botsing. Twa produkten dy’t oerlaapjende berikken útjaan, meitsje routearring dy’t korrekt liket en neat leveret. Hâld de poelen yn itselde dokumint as de routes, sadat in feroaring yn ’e iene sichtber is tsjin ’e oare.

Behâld de boarne of skriuw dy oer

It behâlden fan it boarneadres fan ’e klant hâldt sichtberens per brûker: logboeken, kwota’s en firewall-regels kinne de iene brûker fan ’e oare ûnderskiede. De priis is dat it bestimmings-LAN in weromrûte nei de gateway nedich hat, en immen moat dy ûnderhâlde. It oerskriuwen fan ’e boarne mei NAT ferwideret dy eask en ferwideret de sichtberens der mei. Kies bewust en skriuw op hokker ynformaasje it oerskriuwen ferstoppet.

Tagong ta partikulier netwurk, ynternetútgong en ferbiningen dy’t op ’e gateway sels einigje, binne trije ferskillende paden. Se hawwe net allegear deselde behanneling nedich.

Beskriuw de stream yn ien sin

Ien sin moat it ûntwerp beskriuwe: hokker klanten dizze tsjinst talit, hokker boarnen dat trochstjoerbelied jout en hoe’t it werompaad de stream foltôget. As de sin in twadde NAT-laach nedich hat om wier te wêzen, is dat meast in teken dat de eardere stikken net út ’e wei kommen wiene. De host is ek in dielde flater- en fertrouwensgrins, dus in routearringsferoaring kin sawol brûkerstagong as behear beynfloedzje. Hâld in ûnôfhinklik werstelpaad foar it lêste.

Hâld in rolinventaris njonken de konfiguraasje: hokker produkt beëiniget, hokker stjoert troch, hokker oerset, en wa kin elk feroarje. Dy list is wat de folgjende feroaring kontrolearber makket.

As de sin ûndúdlik wurdt, makket noch in oersetlaach him selden dúdliker. Ien fuorthelje meast wol.