Amikor egy távoli hozzáférésű kliensnek fióktelepi átjáróként kell működnie

A VPN-hez csatlakozó laptop eléri a központot. Az ugyanazon az asztalon lévő nyomtató és fájlszerver nem éri el, mert semmi nem továbbítja a csomagjaikat abba az alagútba, és nem hozza vissza a válaszokat. Az ügyfél fióktelepi átjáróvá alakítása útválasztási és felelősségi döntés, mielőtt konfigurációs döntés lenne. A dobozon lévő protokollnév nem válaszol arra, hogy támogatott-e ez a szerep.

Amit a protokollcímke nem mond el

OpenVPN helyszín-helyszín közötti kialakítást dokumentál, amelyben egy összekötő egy egész alhálózatot továbbít, és az Access Server átjárószereppel és explicit útválasztással valósítja meg. Egy másik, SSL VPN-ként forgalmazott termék csak távoli felhasználói funkciókat kínálhat, anélkül hogy támogatott módon hirdethetne egy hálózatot az ügyfél mögött. A verzió is számít, mert az egyik kiadásban létező funkció nem ígéret egy másikra. Olvassa el a ténylegesen futtatott megvalósítást, és a másik termékhez írt receptet tekintse nyomnak, ne tervnek.

Az elsőként eldöntendő kérdés, hogy a VPN tulajdonosa egyáltalán támogatja-e a továbbítási szerepet. Ha nem, semmilyen ügyféloldali útválasztás nem teszi támogatottá.

A szerződésnek két oldala van: fióktelep és központ

A fióktelep oldalán egyetlen gazdagép felel a továbbításért, a szűrésért és a helyreállításért. Szándékos útvonalra van szüksége minden fióktelepi eszköztől, és a külső VPN-kapcsolatnak az alatta lévő hálózaton keresztül elérhetőnek kell maradnia akkor is, amikor az alagút áll. A központ oldalán valakinek meg kell határoznia a fióktelepi alhálózatot, el kell fogadnia az átjáró identitását, és engedélyeznie kell bizonyos erőforrásokat. Egyik fél sem működik egyedül.

A visszaút az a rész, amelyről megfeledkeznek. Az ügyfél alagútcíme nem hirdeti az mögötte lévő alhálózatot, ezért a központi útválasztóknak olyan útvonalra van szükségük, amely ehhez az előtaghoz a VPN-átjáróra mutat.

Irányított kialakításban a koncentrátor továbbítja a fióktelepi előtag csomagjait, és a felette lévő LAN útválasztása tudja, hogyan küldje vissza a válaszokat. Lefordított kialakításban a központ által látott forrás átíródik, ami megszüntetheti egy visszaút szükségességét, miközben elrejti, melyik fióktelepi gép küldte a forgalmat. Ez a kompromisszum a tervezési dokumentumba tartozik, mert az alkalmazásnaplók és a hozzáférési szabályok elveszítik az eszközönkénti identitást, amint a fordítás szerephez jut.

Irányított vagy fordított: válassza meg a visszautat tudatosan

Válassza az irányítottat, ha az eszközönkénti identitás és a gazdagépenkénti szabályzat számít, és a visszautat minden érintett útválasztón fenn tudja tartani.

Válassza a fordítottat, ha nem tud útvonalakat hozzáadni, de elfogadja, hogy a központ egyetlen forráscímet lát. Vannak vegyes kialakítások, és nehezebb őket átgondolni, ezért írja le, mely előtagok irányítottak és melyek fordítottak. Ezután ellenőrizze a választást mindkét végén készített rögzítéssel, ahelyett hogy az alagút állapotában bízna.

Egy hasznos ellenőrzés aszimmetrikus: kérjen erőforrást egy fióktelepi eszközről, majd erősítse meg, hogy a válasz elhagyja a központot a fióktelepi előtag felé. traceroute -n 10.60.4.20 egy központi gazdagépről megmutatja, hogy ez az útvonal a VPN-átjárón keresztül halad-e.

Infrastruktúraként üzemeltesse, ne bejelentkezésként

Döntse el, hogyan indul, hitelesít, frissül és áll helyre az átjáró, miközben senki nincs bejelentkezve. A hitelesítő adatok megújítása, a többtényezős kérések, az alvási viselkedés és az, hogy ki reagál, amikor a fióktelep elveszíti a hozzáférést, mind operatív kérdéssé válnak. Egy hálózati útvonalat megosztó több embernek nem szabad örökölnie az átjárót használó személyes kiváltságait, ezért az erőforrás-engedélyezésnek, a naplózási hatókörnek és a hibaeseti szabályzatnak nevesített tulajdonosra van szüksége. A fiók megosztása az eszközönkénti regisztráció elkerülésére nem tervezés.

Hasonlítsa össze az elrendezést egy támogatott helyszíni átjáróval ugyanazon követelmények mellett, mielőtt elköteleződik. Egy régi asztali gép újrahasznosítása nem szünteti meg a karbantartási vagy helyreállítási munkát, és a használt ár nem írja le az üzemeltetési költséget.

Érvényesítse a tervezett fióktelepi alkalmazásokat, azok visszforgalmát és egy megtagadott célt jóváhagyott terv szerint. A siker saját tulajdonú hálózati szolgáltatásnak tűnik nevesített fióktelepi identitással és explicit szabályzattal, nem egy ügyfélablaknak, amely azt írja: Csatlakoztatva.