Kada klijent za daljinski pristup mora djelovati kao filijalni pristupnik

Prijenosno računalo povezano na VPN može doći do sjedišta. Pisač i datotečni poslužitelj na istom stolu ne mogu, jer ništa ne prosljeđuje njihove pakete u taj tunel niti vraća odgovore. Pretvaranje klijenta u filijalni pristupnik je odluka o usmjeravanju i vlasništvu prije nego odluka o konfiguraciji. Naziv protokola na kutiji ne odgovara na pitanje je li ta uloga podržana.

Šta vam oznaka protokola ne kaže

OpenVPN dokumentira dizajn od lokacije do lokacije u kojem konektor prosljeđuje cijelu podmrežu, a Access Server to provodi s ulogom pristupnika i izričitim usmjeravanjem. Drugi proizvod koji se reklamira kao SSL VPN može nuditi samo funkcije za daljinske korisnike, bez podržanog načina da se najavi mreža iza klijenta. I verzija je važna, jer značajka u jednom izdanju nije obećanje za drugo. Čitajte implementaciju koju zaista pokrećete i recept napisan za drugi proizvod uzmite kao nagovještaj, a ne kao dizajn.

Pitanje koje prvo treba riješiti jest podržava li vlasnik VPN-a ulogu prosljeđivanja uopće. Ako ne, nikakvo usmjeravanje na strani klijenta to ne čini podržanim.

Ugovor ima dvije strane: filijala i sjedište

Na strani filijale jedan host posjeduje prosljeđivanje, filtriranje i oporavak. Potreban mu je promišljen put od svakog filijalnog uređaja, a vanjska VPN veza mora ostati dostupna kroz temeljnu mrežu čak i dok je tunel pao. Na strani sjedišta netko mora definirati filijalnu podmrežu, prihvatiti identitet pristupnika i dopustiti određene resurse. Nijedna polovica ne radi sama.

Povratni put je dio koji se preskače. Adresa tunela za klijenta ne najavljuje podmrežu iza njega, pa usmjerivači u sjedištu trebaju rutu koja za taj prefiks pokazuje na VPN pristupnik.

U usmjerenom dizajnu koncentrator prosljeđuje pakete za filijalni prefiks, a usmjeravanje nadređene LAN mreže zna kako poslati odgovore natrag. U prevedenom dizajnu izvor koji sjedište vidi prepisuje se, što može ukloniti potrebu za jednom povratnom rutom, ali skriva koja je filijalna mašina poslala promet. Taj kompromis pripada projektnom dokumentu, jer zapisnici aplikacija i pravila pristupa gube identitet svakog uređaja kad se uključi prijevod.

Usmjereno ili prevedeno: povratni put birajte svjesno

Odaberite usmjereno kada su identitet svakog uređaja i pravila za svaki host važni i kada povratnu rutu možete održavati na svakom relevantnom usmjerivaču.

Odaberite prevedeno kada ne možete dodavati rute, ali možete prihvatiti da sjedište vidi jednu izvornu adresu. Mješoviti dizajni postoje i teže ih je promisliti, zato zapišite koji su prefiksi usmjereni, a koji prevedeni. Zatim izbor provjerite snimkom na oba kraja umjesto da vjerujete statusu tunela.

Korisna provjera je asimetrična: zatražite resurs s filijalnog uređaja, pa potvrdite da odgovor napušta sjedište prema filijalnom prefiksu. traceroute -n 10.60.4.20 s hosta u sjedištu pokazuje prolazi li taj put kroz VPN pristupnik.

Upravljajte time kao infrastrukturom, a ne kao prijavom

Odlučite kako se pristupnik pokreće, autentificira, ažurira i oporavlja kad nitko nije prijavljen. Obnova vjerodajnica, višefaktorski upiti, ponašanje pri spavanju i to ko reagira kad filijala izgubi pristup postaju operativna pitanja. Nekoliko ljudi koji dijele jedan mrežni put ne smije naslijediti osobne privilegije korisnika pristupnika, pa autorizacija resursa, opseg zapisivanja i politika kvara trebaju imenovanog vlasnika. Dijeljenje računa da bi se izbjegla registracija svakog uređaja nije dizajn.

Usporedite taj raspored s podržanim pristupnikom lokacije pod istim zahtjevima prije nego se obvežete. Ponovna uporaba starog stolnog računala ne uklanja rad na održavanju ni oporavku, a cijena iz druge ruke ne opisuje operativni trošak.

Provjerite predviđene filijalne aplikacije, njihov povratni promet i jedno odbijeno odredište prema odobrenom planu. Uspjeh izgleda kao vlastita mrežna usluga s imenovanim filijalnim identitetom i izričitom politikom, a ne kao klijentski prozor na kojem piše Povezano.