Ketika klien akses jarak jauh harus bertindak sebagai gateway cabang

Laptop yang terhubung ke VPN dapat mencapai kantor pusat. Printer dan server berkas di meja yang sama tidak dapat, karena tidak ada yang meneruskan paketnya ke terowongan itu atau membawa balasannya kembali. Mengubah klien menjadi gateway cabang adalah keputusan perutean dan kepemilikan sebelum menjadi keputusan konfigurasi. Nama protokol pada kotaknya tidak menjawab apakah peran itu didukung.

Apa yang tidak diberitahukan label protokol

OpenVPN mendokumentasikan desain situs-ke-situs di mana konektor meneruskan seluruh subnet, dan Access Server menerapkannya dengan peran gateway serta perutean eksplisit. Produk lain yang dipasarkan sebagai VPN SSL mungkin hanya menawarkan fungsi pengguna jarak jauh, tanpa cara yang didukung untuk mengumumkan jaringan di belakang klien. Versinya juga penting, karena fitur pada satu rilis bukan janji tentang rilis lain. Bacalah implementasi yang benar-benar Anda jalankan, dan perlakukan resep yang ditulis untuk produk lain sebagai petunjuk, bukan desain.

Pertanyaan yang harus diselesaikan lebih dulu adalah apakah pemilik VPN mendukung peran penerusan sama sekali. Jika tidak, tidak ada perutean di sisi klien yang membuatnya didukung.

Kontraknya punya dua sisi: cabang dan kantor pusat

Di sisi cabang, satu host memiliki penerusan, penyaringan, dan pemulihan. Host itu memerlukan jalur yang disengaja dari setiap perangkat cabang, dan koneksi VPN luar harus tetap dapat dijangkau melalui jaringan di bawahnya bahkan saat terowongan mati. Di sisi kantor pusat, seseorang harus mendefinisikan subnet cabang, menerima identitas gateway, dan mengizinkan sumber daya tertentu. Tidak ada separuh yang bekerja sendiri.

Jalur balik adalah bagian yang dilewati. Alamat terowongan untuk klien tidak mengumumkan subnet di belakangnya, jadi perute di kantor pusat memerlukan rute yang menunjuk ke gateway VPN untuk prefiks itu.

Dalam desain terutek, konsentrator meneruskan paket untuk prefiks cabang dan perutean LAN di atasnya tahu cara mengirim balasan kembali. Dalam desain diterjemahkan, sumber yang dilihat kantor pusat ditulis ulang, yang dapat menghapus kebutuhan satu rute balik sekaligus menyembunyikan mesin cabang mana yang mengirim lalu lintas. Kompromi itu masuk ke dokumen desain, karena log aplikasi dan aturan akses kehilangan identitas per perangkat begitu terjemahan dipakai.

Terutek atau diterjemahkan: pilih jalur balik dengan sadar

Pilih terutek bila identitas per perangkat dan kebijakan per host penting dan Anda dapat memelihara rute balik di setiap perute yang relevan.

Pilih diterjemahkan bila Anda tidak dapat menambah rute tetapi dapat menerima bahwa kantor pusat melihat satu alamat sumber. Desain campuran ada dan lebih sulit dicerna, jadi tuliskan prefiks mana yang terutek dan mana yang diterjemahkan. Lalu verifikasi pilihan itu dengan rekaman tangkapan di kedua ujung alih-alih memercayai status terowongan.

Pemeriksaan yang berguna bersifat asimetris: minta sumber daya dari perangkat cabang, lalu pastikan balasannya meninggalkan kantor pusat menuju prefiks cabang. traceroute -n 10.60.4.20 dari host di kantor pusat menunjukkan apakah jalur itu melewati gateway VPN.

Kelola seperti infrastruktur, bukan seperti proses masuk

Putuskan bagaimana gateway mulai, mengautentikasi, memperbarui, dan pulih saat tidak ada yang masuk. Pembaruan kredensial, permintaan multifaktor, perilaku tidur, dan siapa yang merespons ketika cabang kehilangan akses semuanya menjadi pertanyaan operasional. Beberapa orang yang berbagi satu jalur jaringan tidak boleh mewarisi hak istimewa pribadi pengguna gateway, jadi otorisasi sumber daya, cakupan pencatatan, dan kebijakan kegagalan memerlukan pemilik yang disebutkan. Berbagi akun untuk menghindari pendaftaran tiap perangkat bukanlah desain.

Bandingkan pengaturan itu dengan gateway situs yang didukung di bawah persyaratan yang sama sebelum berkomitmen. Menggunakan ulang desktop lama tidak menghapus pekerjaan pemeliharaan atau pemulihan, dan harga bekas tidak menggambarkan biaya operasional.

Validasi aplikasi cabang yang dimaksud, lalu lintas baliknya, dan satu tujuan yang ditolak di bawah rencana yang disetujui. Keberhasilan tampak seperti layanan jaringan milik sendiri dengan identitas cabang yang disebutkan dan kebijakan eksplisit, bukan jendela klien yang bertuliskan Tersambung.