როცა დისტანციური წვდომის კლიენტმა ფილიალის კარიბჭის როლი უნდა ითამაშოს
ფილიალის ქვექსელის გატარება დისტანციური წვდომის კლიენტის გავლით არის მარშრუტიზაციის ხელშეკრულება. დაადასტურეთ, რომ პროდუქტი ამ როლს უჭერს მხარს, შემდეგ კი აიღეთ მისამართებისა და აღდგენის პასუხისმგებლობა.
VPN-ზე დაკავშირებულ ლეპტოპს შეუძლია მთავარ ოფისამდე მიაღწიოს. იმავე მაგიდაზე მდგარ პრინტერსა და ფაილურ სერვერს არ შეუძლია, რადგან არაფერი გადასცემს მათ პაკეტებს ამ გვირაბში და არ აბრუნებს პასუხებს. კლიენტის ფილიალის კარიბჭად ქცევა მარშრუტიზაციისა და პასუხისმგებლობის გადაწყვეტილებაა, სანამ კონფიგურაციის გადაწყვეტილება გახდება. ყუთზე დაწერილი პროტოკოლის სახელი არ პასუხობს, მხარდაჭერილია თუ არა ეს როლი.
რასაც პროტოკოლის ეტიკეტი არ გიყვებათ
OpenVPN აღწერს ადგილიდან ადგილზე დიზაინს, რომელშიც კონექტორი მთელ ქვექსელს გადასცემს, და Access Server მას კარიბჭის როლითა და ცხადი მარშრუტიზაციით ახორციელებს. სხვა პროდუქტი, რომელიც SSL VPN-ად იყიდება, შესაძლოა მხოლოდ დისტანციური მომხმარებლის ფუნქციებს გვთავაზობდეს, კლიენტის უკან არსებული ქსელის გამოცხადების მხარდაჭერილი ხერხის გარეშე. ვერსიასაც აქვს მნიშვნელობა, რადგან ერთ გამოცემაში არსებული ფუნქცია მეორეზე დაპირება არ არის. წაიკითხეთ ის რეალიზაცია, რომელსაც რეალურად უშვებთ, და სხვა პროდუქტისთვის დაწერილი რეცეპტი ნახეთ როგორც მინიშნება, არა როგორც დიზაინი.
პირველ რიგში გადასაწყვეტი კითხვაა, უჭერს თუ არა VPN-ის მფლობელი გატარების როლს საერთოდ მხარს. თუ არა, კლიენტის მხარეს ვერც ერთი მარშრუტიზაცია ვერ გახდის მას მხარდაჭერილს.
ხელშეკრულებას ორი მხარე აქვს: ფილიალი და მთავარი ოფისი
ფილიალის მხარეს ერთი ჰოსტი ფლობს გატარებას, ფილტრაციასა და აღდგენას. მას სჭირდება გააზრებული გზა ფილიალის თითოეული მოწყობილობიდან, და გარე VPN კავშირი უნდა დარჩეს მისაწვდომი ქვედა ქსელის გავლით მაშინაც, როცა გვირაბი გამორთულია. მთავარი ოფისის მხარეს ვიღაცამ უნდა განსაზღვროს ფილიალის ქვექსელი, მიიღოს კარიბჭის იდენტობა და დაუშვას კონკრეტული რესურსები. არც ერთი ნახევარი მარტო არ მუშაობს.
დაბრუნების გზა არის ის ნაწილი, რომელსაც გამოტოვებენ. კლიენტისთვის გვირაბის მისამართი არ აცხადებს მის უკან არსებულ ქვექსელს, ამიტომ მთავარი ოფისის მარშრუტიზატორებს სჭირდებათ მარშრუტი, რომელიც ამ პრეფიქსისთვის VPN კარიბჭისკენ მიუთითებს.
მარშრუტიზებულ დიზაინში კონცენტრატორი ფილიალის პრეფიქსის პაკეტებს გადასცემს და ზედა LAN-ის მარშრუტიზაციამ იცის, როგორ დააბრუნოს პასუხები. თარგმნილ დიზაინში წყარო, რომელსაც მთავარი ოფისი ხედავს, გადაიწერება, რაც შეიძლება ერთი დაბრუნების მარშრუტის საჭიროება მოხსნას, მაგრამ დამალოს, რომელი ფილიალის მანქანამ გაგზავნა ტრაფიკი. ეს კომპრომისი დიზაინის დოკუმენტს ეკუთვნის, რადგან აპლიკაციების ჟურნალები და წვდომის წესები კარგავენ მოწყობილობისეულ იდენტობას, როგორც კი თარგმანი თამაშში შედის.
მარშრუტიზებული თუ თარგმნილი: აირჩიეთ დაბრუნების გზა გააზრებულად
აირჩიეთ მარშრუტიზებული, როცა მოწყობილობისეული იდენტობა და ჰოსტისეული პოლიტიკა მნიშვნელოვანია და შეგიძლიათ დაიცვათ დაბრუნების მარშრუტი ყველა შესაბამის მარშრუტიზატორზე.
აირჩიეთ თარგმნილი, როცა ვერ ამატებთ მარშრუტებს, მაგრამ ეთანხმებით, რომ მთავარი ოფისი ერთ წყაროს მისამართს ხედავს. შერეული დიზაინები არსებობს და მათზე ფიქრი უფრო რთულია, ამიტომ ჩაწერეთ, რომელი პრეფიქსებია მარშრუტიზებული და რომელი თარგმნილი. შემდეგ გადაამოწმეთ არჩევანი ორივე ბოლოში ჩანაწერით, ნაცვლად იმისა, რომ გვირაბის სტატუსს დაეყრდნოთ.
სასარგებლო შემოწმება ასიმეტრიულია: მოითხოვეთ რესურსი ფილიალის მოწყობილობიდან, შემდეგ დაადასტურეთ, რომ პასუხი მთავარ ოფისს ტოვებს ფილიალის პრეფიქსისკენ. traceroute -n 10.60.4.20 მთავარი ოფისის ჰოსტიდან აჩვენებს, გადის თუ არა ეს გზა VPN კარიბჭზე.
მართეთ იგი ინფრასტრუქტურად და არა შესვლად
გადაწყვიტეთ, როგორ იწყება კარიბჭე, ავთენტიფიცირდება, განახლდება და აღდგება, როცა არავინ არის შესული. სერტიფიკატების განახლება, მრავალფაქტორიანი მოთხოვნები, ძილის ქცევა და ის, თუ ვინ პასუხობს, როცა ფილიალი წვდომას კარგავს, ყველა ოპერაციული კითხვა ხდება. ერთ ქსელურ გზას რამდენიმე ადამიანი იზიარებს და არ უნდა მიიღოს კარიბჭის მომხმარებლის პირადი უფლებები, ამიტომ რესურსების ავტორიზაციას, ჟურნალირების არეს და წარუმატებლობის პოლიტიკას სახელდებული მფლობელი სჭირდება. ანგარიშის გაზიარება თითოეული მოწყობილობის რეგისტრაციის თავიდან ასაცილებლად დიზაინი არ არის.
შეადარეთ ეს მოწყობა მხარდაჭერილ ადგილის კარიბჭეს იმავე მოთხოვნებით, სანამ ვალდებულებას აიღებთ. ძველი სამაგიდო კომპიუტერის ხელახალი გამოყენება არ აშორებს ტექნიკურ მომსახურებას ან აღდგენას, და მეორადი ფასი არ აღწერს ოპერაციულ ხარჯს.
გადაამოწმეთ განზრახული ფილიალის აპლიკაციები, მათი დაბრუნების ტრაფიკი და ერთი უარყოფილი დანიშნულება დამტკიცებული გეგმის ფარგლებში. წარმატება ჰგავს საკუთარ ქსელურ სერვისს სახელდებული ფილიალის იდენტობითა და ცხადი პოლიტიკით, და არა კლიენტის ფანჯარას, რომელიც ამბობს დაკავშირებულია.