Cando un cliente de acceso remoto ten que actuar como pasarela de sucursal

Un portátil conectado a unha VPN pode chegar á sede central. A impresora e o servidor de ficheiros do mesmo escritorio non poden, porque nada reenvía os seus paquetes a ese túnel nin devolve as respostas. Converter o cliente nunha pasarela de sucursal é unha decisión de enrutamento e propiedade antes que unha decisión de configuración. O nome do protocolo na caixa non responde se ese rol está admitido.

O que a etiqueta do protocolo non lle di

OpenVPN documenta un deseño de sitio a sitio no que un conector reenvía toda unha subrede, e Access Server implémentao cun rol de pasarela e enrutamento explícito. Outro produto comercializado como VPN SSL pode ofrecer só funcións de usuario remoto, sen ningunha forma admitida de anunciar unha rede detrás do cliente. A versión tamén importa, porque unha función presente nunha edición non é unha promesa sobre outra. Lea a implementación que realmente executa e trate unha receita escrita para outro produto como unha pista, non como un deseño.

A pregunta que hai que resolver primeiro é se o propietario da VPN admite sequera o rol de reenvío. Se non, ningún enrutamento do lado do cliente o converte en admitido.

O contrato ten dúas bandas: sucursal e sede central

Na banda da sucursal, un só host encárgase do reenvío, o filtrado e a recuperación. Necesita un camiño deliberado desde cada dispositivo da sucursal, e a conexión VPN exterior debe seguir sendo alcanzable a través da rede subxacente mesmo mentres o túnel está caído. Na banda da sede, alguén debe definir a subrede da sucursal, aceptar a identidade da pasarela e permitir recursos concretos. Ningunha metade funciona soa.

O camiño de volta é a parte que se omite. Un enderezo de túnel para o cliente non anuncia a subrede que hai detrás, así que os enrutadores da sede necesitan unha ruta que apunte á pasarela VPN para ese prefixo.

Nun deseño enrutado, o concentrador reenvía os paquetes do prefixo da sucursal e o enrutamento da LAN superior sabe como devolver as respostas. Nun deseño traducido, a fonte que ve a sede reescríbese, o que pode eliminar a necesidade dunha ruta de volta mentres oculta que máquina da sucursal enviou o tráfico. Ese compromiso pertence ao documento de deseño, porque os rexistros de aplicacións e as regras de acceso perden a identidade por dispositivo en canto entra en xogo a tradución.

Enrutado ou traducido: escolla o camiño de volta con coñecemento

Escolla enrutado cando importen a identidade por dispositivo e a política por host e poida manter a ruta de volta en cada enrutador relevante.

Escolla traducido cando non poida engadir rutas pero acepte que a sede vexa un só enderezo de orixe. Existen deseños mixtos e son máis difíciles de razoar, así que anote que prefixos están enrutados e cales traducidos. Despois verifique a elección cunha captura nos dous extremos en lugar de confiar no estado do túnel.

Unha comprobación útil é asimétrica: solicite un recurso desde un dispositivo da sucursal e logo confirme que a resposta sae da sede cara ao prefixo da sucursal. traceroute -n 10.60.4.20 desde un host da sede mostra se ese camiño pasa pola pasarela VPN.

Opéreo como infraestrutura, non como un inicio de sesión

Decida como arranca, se autentica, se actualiza e se recupera a pasarela sen ninguén conectado. A renovación de credenciais, os avisos multifactor, o comportamento en repouso e quen responde cando a sucursal perde o acceso convértense en cuestións operativas. Varias persoas que comparten un camiño de rede non deben herdar os privilexios persoais do usuario da pasarela, así que a autorización de recursos, o alcance do rexistro e a política de fallo necesitan un propietario con nome. Compartir unha conta para evitar o alta de cada dispositivo non é un deseño.

Compare a solución con unha pasarela de sitio admitida baixo os mesmos requisitos antes de comprometerse. Reutilizar un escritorio vello non elimina o mantemento nin a recuperación, e o prezo de segunda man non describe o custo operativo.

Valide as aplicacións de sucursal previstas, o seu tráfico de volta e un destino denegado baixo un plan aprobado. O éxito parece un servizo de rede propio cunha identidade de sucursal con nome e unha política explícita, non unha xanela de cliente que di Conectado.