SoftEther VPN Azure: jalur relai, bukan port terbuka

Server Anda berada di belakang router yang tidak dapat Anda konfigurasi, sehingga rencana yang jelas untuk meneruskan port tidak tersedia. VPN Azure ada justru untuk situasi itu, dan menyelesaikannya dengan membalik arah koneksi pertama: server menghubungi relai ke luar, dan klien mencapai relai alih-alih server. Memahami pembalikan itu menjelaskan baik apa yang diperbaiki layanan maupun setiap batas yang akan Anda temui nanti.

Apa yang berubah pada jalur

Dengan listener konvensional, klien membuka koneksi TCP ke alamat publik yang diteruskan router Anda ke server. Dengan relai, server memelihara koneksi keluar ke infrastruktur relai, dan relai menerima koneksi klien serta meneruskan muatannya ke server yang menunggu. Tidak ada port masuk yang dibuka, tidak diperlukan alamat statis, dan router tetap tidak tersentuh. Dari sudut pandang firewall, server adalah klien keluar biasa, dan itulah sebabnya jaringan ketat mengizinkannya.

Relai menetapkan nama pada domainnya sendiri untuk server itu, dan klien dikonfigurasi untuk terhubung ke sana.

Nama itu milik layanan relai, yang bukan Microsoft Azure VPN Gateway meskipun keduanya disebut Azure sesuatu. Memperlakukannya sebagai dapat dipertukarkan menghasilkan konfigurasi yang tidak mungkin bekerja.

Protokol apa yang bertahan melewati relai

Relai mengangkut protokol SoftEther, dan proyek mendokumentasikan SSTP sebagai opsi klien, yang berguna karena Windows menyertakan klien SSTP. Namun relai tidak menjadi pengangkut umum untuk setiap listener di host: listener OpenVPN, responder IPsec, dan layanan L2TP masing-masing membutuhkan titik akhirnya sendiri yang dapat dijangkau, dan tidak satu pun diangkut melalui relai hanya karena server SoftEther terhubung.

Karena itu profil klien menunjuk ke nama relai alih-alih alamat server, dan profil yang sudah ada untuk koneksi langsung tidak akan berfungsi tanpa perubahan. Periksa daftar klien yang didukung untuk versi yang Anda jalankan sebelum merancang di sekitar protokol yang tidak diangkut relai.

Apa yang tidak dilakukan relai untuk Anda

Relai adalah pengangkut. Ia tidak membuat pengguna, hub virtual, kebijakan akses, atau rute, dan tidak tahu apa pun tentang jaringan privat di belakang server Anda. Jika klien jarak jauh harus mencapai subnet LAN, server tetap memerlukan konfigurasi jembatan atau perutean, jalur balik, dan kebijakan firewall yang membuatnya berfungsi. Rencana alamat yang tumpang tindih di kedua ujung juga tidak terlihat oleh relai dan tetap menjadi masalah Anda untuk diselesaikan.

Pengaturan keamanan yang didukung juga menjadi pilihan Anda. Dokumentasi proyek memuat contoh platform yang lebih lama, dan menyalin pengaturan cipher atau sertifikat lama dari tangkapan layar tua adalah cara yang baik untuk membangun terowongan yang tidak dapat diaudit siapa pun. Gunakan panduan terkini untuk versi yang Anda jalankan.

Validasi sertifikat dan autentikasi pengguna tetap menjadi tanggung jawab server, dan relai tidak pernah menggantikan keduanya.

Jalankan sebagai dependensi

Ketersediaan kini mencakup pihak ketiga. Ketika relai tidak dapat dijangkau, klien tidak dapat terhubung seberapa pun sehat server Anda, dan kegagalan itu tampak seperti masalah klien dari luar. Pantau jalur relai secara terpisah dari kesehatan server, dan simpan cadangan terdokumentasi seperti listener langsung di alamat lain untuk hari ketika itu penting.

Latensi mengikuti geografi relai alih-alih kedekatan pengguna Anda, yang layak diukur sebelum menjanjikan kinerja interaktif melaluinya.

Verifikasi identitas server lalu jalur aplikasi yang sebenarnya, bukan hanya banner koneksi yang berhasil, dan periksa apakah sumber daya yang Anda butuhkan dapat dijangkau melalui keluarga alamat yang diangkut relai. Catat nama relai, protokol yang digunakan, dan cadangannya, karena ketiga fakta itu menjawab sebagian besar pertanyaan mendatang tentang tautan ini.