Windows VPN-átjáró: három feladat, három gazda

Három funkció zsúfolódik össze, valahányszor valaki VPN-kiszolgálót mond: a titkosított alagút lezárása, csomagok mozgatása hálózatok között, és opcionálisan a címek átírása. Windows alatt ezek a verem különböző részein élnek, még akkor is, ha egyetlen gép végzi mindhármat. Mindegyiknek saját bemenetei és saját hibamódja van, és mindegyik más terméknek adható. Papíron szétválasztani őket a legolcsóbb módja annak, hogy egy kis telepítés érthető maradjon.

Egy olvasható terv megnevezi az egyes folyamok gazdáját, ahelyett hogy a gépet szerepkörként írná le.

Lezárás, továbbítás, átírás

Az RRAS kezeli az alagutat a Windows-natív esetben: hitelesíti a felhasználót, címet oszt ki egy készletből, és eldönti, mely célok engedélyezettek. Egy másik VPN-termék birtokolhatja helyette a figyelőt és a virtuális adaptert, és a Windowsra hagyhatja a visszafejtett csomagok továbbítását. A Microsoft Remote Access dokumentációja szétválasztja a VPN-, helyek közötti és útválasztási szerepköröket, és az útválasztási szerepkör telepítése nem hoz létre második VPN-identitást. Egy további VPN-alkalmazás hozzáadása sem adja át az adapterét minden meglévő átjárófunkciónak.

Az átírás a harmadik és a leginkább opcionális feladat. A továbbítás után következik, és megváltoztatja azt a forráscímet, amelyet a távoli hálózat lát. Hogy szüksége van-e rá, attól függ, mit fogad el forrásként a célhálózat, nem attól, hogy a gépet VPN-átjárónak nevezik.

Ki birtokolja az adaptert és a készletet

Amikor több termék osztozik a gazdagépen, négy dolognak egyetlen gazdára van szüksége: figyelő portok, az adapter élettartama, az ügyfélcímtartomány és az útvonalak. Az adapter a kellemetlen, mert egy VPN-szolgáltatás dinamikusan létrehozhatja és a kapcsolat bontásakor megsemmisítheti. Ha ezt az interfészt állandó nevű hálózati kártyaként kezeli, és a nevére ír szabályokat, az a következő újracsatlakozásig működik. Használja a termék által támogatott integrációs pontot, ahelyett hogy egy interfésznevet keményen kódolna.

A címtartomány a második ütközés. Két termék, amely átfedő tartományokat oszt ki, olyan útválasztást hoz létre, amely helyesnek tűnik és semmit sem szállít. Tartsa a készleteket ugyanabban a dokumentumban, mint az útvonalakat, hogy az egyik változása látható legyen a másikhoz képest.

Őrizze meg a forrást, vagy írja át

Az ügyfél forráscímének megőrzése megtartja a felhasználónkénti láthatóságot: a naplók, kvóták és tűzfal-szabályok meg tudnak különböztetni egy felhasználót a másiktól. Az ára az, hogy a cél-LAN-nak visszaútvonalra van szüksége az átjáró felé, és valakinek karban kell tartania. A forrás NAT-tal történő átírása megszünteti ezt a követelményt, és vele együtt a láthatóságot is. Döntsön tudatosan, és írja le, milyen információt rejt el az átírás.

A privát hálózathoz való hozzáférés, az internetes kijárat és az átjárón magán végződő kapcsolatok három különböző útvonal. Nem mindegyikük igényel azonos kezelést.

Írja le a folyamot egy mondatban

Egy mondatnak le kellene írnia a tervet: mely ügyfeleket enged be ez a szolgáltatás, milyen erőforrásokat ad ez a továbbítási szabályzat, és hogyan teljesíti ki a visszaút a folyamot. Ha a mondatnak második NAT-rétegre van szüksége ahhoz, hogy igaz legyen, az általában annak a jele, hogy a korábbi darabok nem voltak tisztázva. A gazdagép egyben közös hiba- és bizalmi határ, ezért az útválasztás változása érintheti a felhasználói hozzáférést és az adminisztrációt is. Utóbbihoz tartson fenn független helyreállítási útvonalat.

Tartson szerepkörleltárt a konfiguráció mellett: melyik termék zár le, melyik továbbít, melyik ír át, és ki tudja módosítani mindegyiket. Ez a lista teszi ellenőrizhetővé a következő változtatást.

Amikor a mondat homályossá válik, egy újabb átírási réteg ritkán teszi világosabbá. Egy eltávolítása általában igen.