Wann e Fernzougrëffsclient als Filialgateway muss schaffen

En Laptop, deen un engem VPN hänkt, kann d’Zentral erreechen. Den Drécker an de Fichierserver um selwechten Desk kënnen dat net, well näischt hir Pakete sou duerch den Tunnel schéckt oder d’Äntwerten zréck bréngt. Den Client an e Filialgateway ëmzewandelen ass eng Routing- an Verantwortungsentscheedung ier et eng Konfiguratiounsentscheedung ass. Den Numm vum Protokoll op der Këscht äntwert net drop, ob dës Roll ënnerstëtzt gëtt.

Wat den Etikett vum Protokoll Iech net seet

OpenVPN dokumentéiert en Design vu Standuert zu Standuert, an deem e Verbinder en ganzt Subnetz weiderleet, an den Access Server setzt et mat enger Gatewayroll an explizitem Routing ëm. En anere Produit, deen als SSL VPN verkaaft gëtt, bitt vläicht nëmme Funktioune fir Fernbenotzer, ouni eng ënnerstëtzten Manéier, en Netz hannert dem Client ze annoncéieren. D’Versioun ass och wichteg, well eng Funktioun an enger Ausgab kee Verspriechen fir eng aner ass. Liest d’Implementatioun, déi Dir tatsächlech bedreift, a behandelt e Rezept, dat fir en anere Produit geschriwwe gouf, als Hiweis, net als Design.

D’Fro, déi fir d’éischt muss decidéiert ginn, ass, ob de Besëtzer vum VPN d’Weiderleeungsroll iwwerhaapt ënnerstëtzt. Wann net, mécht keng Routing um Clientsäit se ënnerstëtzt.

De Kontrakt huet zwou Säiten: Filial an Zentral

Op der Filialsäit gehéiert d’Weiderleeden, d’Filteren an d’Rettung engem eenzegen Host. En brauch en iwwerleeë Wee vun all Filialapparat, an d’baussenzeg VPN-Verbindung muss iwwer d’Ënnergrondnetz erreechbar bleiwen, och wann den Tunnel aus ass. Op der Säit vun der Zentral muss een de Filialsubnetz definéieren, d’Identitéit vum Gateway akzeptéieren a bestëmmte Ressourcen erlaben. Keng Hallschent funktionéiert eleng.

De Wee zréck ass den Deel, deen iwwersprange gëtt. Eng Tunneladress fir de Client annoncéiert de Subnetz hannendrun net, dofir brauchen d’Routere vun der Zentral eng Route, déi fir dee Prefix op de VPN-Gateway weist.

An engem gerouteten Design leet den Zentraliséierer d’Pakete fir de Filialpräfix weider, an d’Routing vum ieweschte LAN weess, wéi d’Äntwerten zréck solle goen. An engem iwwersatent Design gëtt d’Quell, déi d’Zentral gesäit, ëmgeschriwwen, wat d’Noutwendegkeet vun enger Retourroute ka wechhuelen, awer verstoppt, wéi eng Filialmaschinn den Traffic geschéckt huet. Dee Kompromiss gehéiert an den Designdokument, well d’Applikatiounsloggen an d’Zougrëffsregele mat der Iwwersetzung d’Identitéit pro Apparat verléieren.

Geroutet oder iwwersat: wielt de Wee zréck bewosst

Wielt geroutet, wann d’Identitéit pro Apparat an d’Politik pro Host wichteg sinn an Dir de Retourroute op all relevantem Router ka pfleege kënnt.

Wielt iwwersat, wann Dir keng Route kënnt dobäisetzen, awer akzeptéiert, datt d’Zentral eng eenzeg Quelladress gesäit. Et gëtt gemëschten Designs an se si méi schwéier ze duerchdenken, also schreift op, wéi eng Präfixer geroutet a wéi eng iwwersat sinn. Dann iwwerpréift d’Wiel mat enger Opnam op béide Säiten, anstatt op den Tunnelstatus ze vertrauen.

Eng nëtzlech Kontroll ass asymmetresch: frot eng Ressource vun engem Filialapparat, a bestätegt duerno, datt d’Äntwert d’Zentral an Richtung Filialpräfix verléisst. traceroute -n 10.60.4.20 vun engem Host an der Zentral weist, ob dëse Wee duerch de VPN-Gateway geet.

Bedreift en als Infrastruktur, net als Login

Decidéiert, wéi de Gateway startet, sech authentifizéiert, sech aktualiséiert a sech rett, wann keen ageloggt ass. D’Erneierung vun den Zousazinformatiounen, Multifaktorsufuerderungen, Schlofverhalen a wien äntwert, wann d’Filial den Zougrëff verléiert, ginn alleguer operationell Froen. Méi Leit, déi ee Netzwee deelen, däerfen net déi perséinlech Privileegien vum Gatewaybenotzer ierwen, dofir brauche Ressourcenautorisatioun, Logëmfang an d’Fehlerpolitik en namentlech genannten Eegentümer. En Kont deelen, fir d’Aschreiwung vun all Apparat ze vermeiden, ass keen Design.

Vergläicht d’Arrangement mat engem ënnerstëtzten Site-Gateway ënner deene selwechten Ufuerderungen, ier Dir Iech verflicht. En ale Desktop weiderze Benotzen hëlt keng Ënnerhalts- oder Rettungsaarbecht ewech, an den Occasiounsprais beschreift net d’Betribskäschte.

Validéiert déi virgesi Filialapplikatiounen, hire Retourtraffic an een ofgeleent Zil ënner engem guttgeheeschtem Plang. Erfolleg gesäit aus wéi en eegene Netzwierksservice mat enger namentlecher Filialidentitéit an enger expliziter Politik, net wéi e Clientfenster, op deem Verbonne steet.