Accesso remoto o VPN site-to-site: quale scegliere?

Un dipendente in viaggio e una filiale hanno bisogno di tunnel diversi, e la scelta sbagliata produce un progetto che funziona in laboratorio e fallisce il primo lunedì. L’accesso remoto collega un dispositivo a un gateway. Il site-to-site collega due gateway che rappresentano reti. La lista di controllo qui sotto stabilisce quale delle due descrive davvero il requisito.

Chi compone, e cosa c’è dietro chi compone

Nell’accesso remoto, il software sul portatile o sul telefono stabilisce il tunnel, e il gateway autentica un utente, un dispositivo o entrambi prima di assegnare un indirizzo e delle rotte. Nel site-to-site, router, firewall o gateway cloud stabiliscono la connessione, e i dispositivi dietro di loro usano l’instradamento ordinario invece di eseguire un client. Questa differenza decide chi possiede la disponibilità del tunnel: il dispositivo di un dipendente nel primo caso, un apparato gestito nel secondo. Decide anche se l’autenticazione descrive una persona o una rete.

Fermatevi qui se il requisito è che ogni macchina di un ufficio raggiunga un altro ufficio senza configurazione per dispositivo. È site-to-site, e una pila di accessi remoti è un pessimo sostituto.

Indirizzamento e percorso di ritorno

Pianificate intervalli locali e remoti distinti. Due sedi possono usare la stessa sottorete privata, e il progetto ha allora bisogno di traduzione o rinumerazione prima che l’instradamento sia inequivocabile. Un router domestico che usa lo stesso intervallo della sede centrale crea lo stesso problema per un lavoratore remoto. La sovrapposizione è abbastanza comune che controllarla appartiene alla prima conversazione.

Il percorso di ritorno conta quanto quello in uscita. Un server può ricevere una richiesta e comunque non avere alcuna rotta verso la rete del client.

Documentate quale router conosce il prefisso remoto, soprattutto con reti cloud e più gateway. Un’icona verde di tunnel non può rispondere se una destinazione ha un percorso di ritorno funzionante, e nemmeno un ping in una sola direzione. Nell’accesso remoto il gateway di solito possiede la rotta del pool; nel site-to-site, ogni router intermedio che porta il prefisso deve essere d’accordo. La traduzione può nascondere una rotta mancante finché non si rompe un’applicazione che incorpora indirizzi.

L’uscita su internet è una decisione separata

La raggiungibilità privata non richiede che il tunnel trasporti la navigazione pubblica. Se il traffico web ordinario esce dal gateway è una seconda decisione, presa per ogni progetto e registrata nel profilo del client o nella configurazione della sede.

Il tunnel completo e il tunnel diviso sono risposte a quella domanda, non alla domanda accesso remoto contro site-to-site. I nomi interni hanno bisogno di un DNS adatto in entrambi i progetti, perché un resolver pubblico non ha risposta per un nome host di ufficio privato. Spingere un resolver e spingere una rotta predefinita sono impostazioni collegate, e cambiare l’una senza l’altra produce guasti che sembrano problemi di DNS.

Usate la topologia per circoscrivere il guasto

Un portatile nomade perde l’accesso presso il client, il suo account o la sua rete locale. Un’intera filiale perde l’accesso su percorsi e gateway condivisi.

Controllate prima la creazione del tunnel, poi le rotte, poi il traffico consentito, poi la risoluzione dei nomi, poi l’accesso all’applicazione, e fermatevi al primo passo che fallisce.ip route get 10.60.8.15 risponde alla domanda di instradamento prima che leggiate un solo registro applicativo. Le impostazioni di cifratura non correggono un errore di permessi su una condivisione file, e un ping che funziona non prova che un’applicazione sia autorizzata. Mantenere l’ordine fisso evita le modifiche di configurazione casuali che trasformano un guasto in tre.

Infine, tenete dritte le definizioni quando leggete materiale dei fornitori: un server commerciale di uscita internet è un servizio diverso dal gateway privato di un’azienda e non concede alcun accesso alla rete di quell’azienda.