שער VPN של Windows: שלוש משימות, שלושה בעלים

שלוש פונקציות נארזות יחד בכל פעם שמישהו אומר שרת VPN: סיום המנהרה המוצפנת, העברת מנות בין רשתות ובאופן אופציונלי כתיבה מחדש של כתובות. ב-Windows הן חיות בחלקים שונים של המחסנית, גם כשמכונה אחת מבצעת את שלושתן. לכל אחת יש קלט משלה ואופן כשל משלה, ו כל אחת יכולה להימסר למוצר אחר. הפרדה ביניהן על הנייר היא הדרך הזולה ביותר לשמור על פריסה קטנה מובנת.

עיצוב קריא נוקב בשם הבעלים של כל זרימה במקום לתאר את המכונה כתפקיד.

סיים, העבר, תרגם

RRAS מטפל במנהרה במקרה המקורי של Windows: הוא מאמת את המשתמש, מקצה כתובת ממאגר ומחליט אילו יעדים מותרים. מוצר VPN אחר יכול להחזיק במקום זאת במאזין ובמתאם הווירטואלי, ולהשאיר ל-Windows את העברת המנות המפוענחות. התיעוד של Microsoft ל-Remote Access מפריד בין תפקידי VPN, אתר-לאתר וניתוב, והתקנת תפקיד הניתוב אינה יוצרת זהות VPN שנייה. הוספת יישום VPN נוסף גם אינה מוסרת את המתאם שלו לכל תכונות השער הקיימות.

התרגום הוא המשימה השלישית והאופציונלית ביותר. הוא בא אחרי ההעברה ומשנה את כתובת המקור שהרשת המרוחקת רואה. אם אתם זקוקים לו תלוי במה שרשת היעד תקבל כמקור, לא בכך שהמכונה נקראת שער VPN.

למי שייכים המתאם והמאגר

כשכמה מוצרים חולקים את המארח, ארבעה דברים זקוקים לכל אחד בעלים יחיד: יציאות האזנה, חיי המתאם, מאגר כתובות הלקוחות והמסלולים. המתאם הוא הבעייתי, כי שירות VPN יכול ליצור אותו באופן דינמי ולהשמיד אותו בניתוק. התייחסות לממשק הזה כאל כרטיס רשת בעל שם קבוע וכתיבת כללים נגד שמו עובדת עד לחיבור הבא. השתמשו בנקודת האינטגרציה הנתמכת של המוצר במקום לקודד שם ממשק באופן קשיח.

מאגר הכתובות הוא ההתנגשות השנייה. שני מוצרים שמחלקים טווחים חופפים מייצרים ניתוב שנראה נכון ואינו מספק דבר. שמרו את המאגרים באותו מסמך כמו המסלולים, כך ששינוי באחד יהיה גלוי מול האחר.

שמרו את המקור או כתבו אותו מחדש

שמירה על כתובת המקור של הלקוח שומרת על נראות לפי משתמש: יומנים, מכסות וכללי חומת אש יכולים להבדיל בין משתמש אחד לאחר. המחיר הוא שה-LAN של היעד זקוק למסלול חזור אל השער, ומישהו צריך לתחזק אותו. כתיבה מחדש של המקור עם NAT מסירה את הדרישה הזו ומסירה איתה את הנראות. בחרו במכוון ורשמו איזה מידע הכתיבה מחדש מסתירה.

גישה לרשת פרטית, יציאה לאינטרנט וחיבורים שמסתיימים בשער עצמו הם שלושה נתיבים שונים. לא כולם זקוקים לאותה התמודדות.

תארו את הזרימה במשפט אחד

משפט אחד צריך לתאר את העיצוב: אילו לקוחות השירות הזה מקבל, אילו משאבים מדיניות ההעברה הזו מעניקה וכיצד מסלול החזור משלים את הזרימה. אם המשפט זקוק לשכבת NAT שנייה כדי להיות נכון, זה בדרך כלל סימן שהחלקים הקודמים לא היו סגורים. המארח הוא גם גבול כשל ואמון משותף, ולכן שינוי ניתוב יכול להשפיע גם על גישת המשתמשים וגם על הניהול. שמרו נתיב התאוששות עצמאי עבור האחרון.

נהלו מלאי תפקידים לצד התצורה: איזה מוצר מסיים, איזה מעביר, איזה מתרגם ומי יכול לשנות כל אחד מהם. הרשימה הזו היא מה שהופך את השינוי הבא לניתן לבדיקה.

כשהמשפט נעשה לא ברור, הוספת עוד שכבת תרגום רק לעיתים רחוקות מבהירה אותו. הסרת אחת בדרך כלל כן.