כאשר לקוח גישה מרחוק חייב לשמש כשער סניף

מחשב נייד המחובר ל־VPN יכול להגיע למטה הראשי. המדפסת ושרת הקבצים שעל אותו שולחן אינם יכולים, משום ששום דבר אינו מעביר את החבילות שלהם לתוך המנהרה הזו או מחזיר את התשובות. הפיכת הלקוח לשער סניף היא החלטת ניתוב ובעלות לפני שהיא החלטת תצורה. שם הפרוטוקול על הקופסה אינו עונה אם התפקיד הזה נתמך.

מה שתווית הפרוטוקול לא מספרת לכם

OpenVPN מתעד עיצוב מאתר לאתר שבו מחבר מעביר תת־רשת שלמה, ו־Access Server מיישם אותו עם תפקיד שער וניתוב מפורש. מוצר אחר המשווק כ־SSL VPN עשוי לחשוף רק פונקציות של משתמש מרוחק, בלי דרך נתמכת להכריז על רשת שמאחורי הלקוח. גם הגרסה חשובה, מפני שתכונה בגרסה אחת אינה הבטחה לגבי אחרת. קראו את המימוש שאתם מריצים בפועל, והתייחסו למתכון שנכתב עבור מוצר אחר כרמז ולא כעיצוב.

השאלה שיש להכריע בה ראשונה היא אם בעל ה־VPN תומך בתפקיד ההעברה בכלל. אם לא, שום ניתוב בצד הלקוח לא הופך אותו לנתמך.

לחוזה יש שני צדדים: סניף ומטה ראשי

בצד הסניף, מארח אחד אחראי להעברה, לסינון ולשחזור. הוא זקוק לנתיב מכוון מכל התקן סניף, וחיבור ה־VPN החיצוני חייב להישאר נגיש דרך הרשת שמתחת גם כשהמנהרה מושבתת. בצד המטה הראשי, מישהו חייב להגדיר את תת־הרשת של הסניף, לקבל את זהות השער ולהתיר משאבים מסוימים. אף חצי לא עובד לבדו.

נתיב החזרה הוא החלק שמדלגים עליו. כתובת מנהרה ללקוח אינה מכריזה על תת־הרשת שמאחוריה, ולכן נתבים במטה הראשי זקוקים לנתיב שמצביע על שער ה־VPN עבור הקידומת הזו.

בעיצוב מנותב, המרכזן מעביר חבילות עבור קידומת הסניף וניתוב ה־LAN שמעל יודע להחזיר תשובות. בעיצוב מתורגם, המקור שהמטה הראשי רואה נכתב מחדש, מה שיכול להסיר את הצורך בנתיב חזרה אחד ובמקביל להסתיר איזה מחשב סניף שלח את התעבורה. הפשרה הזו שייכת למסמך העיצוב, מפני שיומני יישומים וכללי גישה מאבדים זהות לפי התקן ברגע שהתרגום נכנס לתמונה.

מנותב או מתורגם: בחרו את נתיב החזרה במודע

בחרו מנותב כאשר זהות לפי התקן ומדיניות לפי מארח חשובות ואתם יכולים לתחזק את נתיב החזרה בכל נתב רלוונטי.

בחרו מתורגם כאשר אינכם יכולים להוסיף נתיבים אך מקבלים שהמטה הראשי רואה כתובת מקור אחת. עיצובים מעורבים קיימים וקשה יותר להסיק לגביהם, לכן רשמו אילו קידומות מנותבות ואילו מתורגמות. אחר כך אמתו את הבחירה באמצעות לכידה בשני הקצוות במקום לסמוך על מצב המנהרה.

בדיקה שימושית היא א־סימטרית: בקשו משאב מהתקן סניף, ואז אשרו שהתשובה עוזבת את המטה הראשי לעבר קידומת הסניף. traceroute -n 10.60.4.20 ממארח במטה הראשי מראה אם הנתיב הזה עובר דרך שער ה־VPN.

הפעילו אותו כתשתית, לא ככניסה

החליטו כיצד השער מתחיל, מאמת, מתעדכן ומשתחזר כשאף אחד אינו מחובר. חידוש אישורים, הנחיות רב־שלביות, התנהגות שינה ומי מגיב כשהסניף מאבד גישה — כולם הופכים לשאלות תפעוליות. כמה אנשים החולקים נתיב רשת אחד לא צריכים לרשת הרשאות אישיות של משתמש השער, לכן הרשאת משאבים, היקף תיעוד ומדיניות הכשל זקוקים לבעלים בשם. שיתוף חשבון כדי להימנע מרישום כל התקן אינו עיצוב.

השוו את הסידור ל־שער אתר נתמך תחת אותן דרישות לפני התחייבות. שימוש חוזר בשולחני ישן אינו מסיר עבודת תחזוקה או שחזור, ומחיר יד שנייה אינו מתאר את עלות התפעול.

אמתו את יישומי הסניף המיועדים, את תעבורת החזרה שלהם ויעד אחד שנדחה במסגרת תוכנית מאושרת. הצלחה נראית כמו שירות רשת בבעלות עם זהות סניף בשם ומדיניות מפורשת, לא כמו חלון לקוח שאומר מחובר.