Kann e roaming VPN-Client en Service fir d'Büro hosten?

Ären Büro-Laptop kann vun Doheem aus afwielen an trotzdem eppes liwweren, wat de Büro brauch, awer nëmmen wann dräi getrennt Entscheidungen zesummekommen. Den Tunnel ass Transport, déi bannenzeg Adress ass d'Zil, an d'Politik entscheet, wien däerf klappen. Wann een dovun als déi ganz Äntwert behandelt gëtt, entsteet déi bekannt Plainte: den Host äntwert op Pingen, awer d'Applikatioun verbënnt sech ni. D'Rollen sinn net déiselwecht, an den Ënnerscheed ass genau do, wou d'Designaarbecht läit.

D'Richtung vum Afwielen seet näischt iwwer d'Richtung vum Service

Wann e Client en Tunnel startet, mécht hien engem Wee op, deen déi zwou Richtungen notze kënnen, soubal en existéiert. Ob eng nei Verbindung vum Hub aus op dee Client kënnt, ass eng Fro vun der Gatewaypolitik, net eng Eegenschaft vun deem, deen afgewielt huet. Op engem gerouteten OpenVPN-Hub zum Beispill brauch de Server eng Route op déi bannenzeg Adress vum Client an eng Weiderleedung, déi d'Peer-Verhältnis erlaabt.

Stellt Iech en Inventarsystem vir, dat en Agent op roaming Laptops ofrot, oder en Entwéckler, deen eng Test-API vun enger Aarbechtsplaz doheem brauch. Béid wëllen, datt d'Bürosäit d'Gespréich ufänkt, wat d'Géigendeel vum gewéinlechen Client-zu-Server-Muster ass.

Gehostet Fernzougriffsprodukter ënnerscheede sech hei, an den Ënnerscheed ass kee Feeler. E puer geréiert VPN-Servicer blockéieren absichtlech ongefrote Verbindungen zu verbonnenen Cliente well hiert Modell Client-zu-Ressource ass, net Ressource-zu-Client. Liest déi dokumentéiert Architektur vum Produkt, ier dir engem Kolleg verspriecht, säi Laptop kéint als Server déngen.

Verfollegt de Retourwee, ier dir e Port opmaacht

De Wee huet dräi Deeler: eng Route um Gateway, déi op déi bannenzeg Adress vum Client weist, eng Politik, déi dee konkreten Uruffer erlaabt, an en héierende Service um Zil. All Deel versoeet anescht, dofir seet «d'VPN ass un» bal näischt.

Déi gutt Nouvelle ass, datt de bannenzege Wee keng Portweiderleedung um Heemrouter vum Client brauch. Dat ass de Sënn, de Service op der Tunneladress ze publizéieren anstatt op der Heem-WAN-Adress, wou d'Expositioun an d'NAT-Regele komplett anescht wieren. En Heemrouter kann och refuséieren, eng Verbindung aus dem Büro ze hairpinnen, dofir versoeet d'WAN-Route aus Grënn, déi näischt mat Ärem VPN ze dinn hunn. Den Traffic am Tunnel ze halen evit béid Problemer op eemol.

Kuckt och d'Zilsäit un. En Service, deen nëmmen un 127.0.0.1 gebonnen ass, kann eng Verbindung, déi um Tunnelinterface ukommt, net unhuelen, egal wéi richteg d'Routen vum Gateway sinn. Eng Host-Firewallregel, déi de Port nëmmen aus dem lokalen Subnet erlaabt, verwäert och Bürotraffic, an déi Regel ass onofhängeg vun der VPN-Politik driwwer.

Nimm an Adresse sinn Designentscheedungen

Eng Adress am Tunnel ass net automatesch en Numm. En private DNS-Record, deen dir kontrolléiert, ass méi kloer wéi ze hoffen, datt en Entdeckungsprotokoll den Tunnel iwwerquiert, well link-local Multicast-Nummauffléisegung am lokalen Segment bleift an net zu Subnet-iwwergräifendem DNS gëtt.

D'Stabilitéit vun der Adress ass genee sou wichteg. Wann VPN-Cliente aus engem Pool mat kuerze Lease huelen, ännert sech déi bannenzeg Adress vum Laptop tëscht Sessiounen an all Lesezeichen, Firewallberäich a Monitoringkontroll, déi drop gebaut sinn, brécht stëll. Benotzt eng Reservatioun oder en dokumentéierten dynameschen Aktualiséierungswee.

Vereneegt Iech op den Numm mat deem, deen d'VPN-Identitéit huet, sou datt de Record, d'Adresszoudeelung an d'Zougrëffspolitik zesummen änneren an net an dräi getrennten Ticketen.

Test de Service, net d'Memberschaft

Vum Zil aus bestätegt, wat héiert an op wéi enger Adress, da bestätegt dem Gateway seng Vue vum Retourwee:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Test elo vun der Bürosäit mat enger richteger Ufro anstatt engem Echo. En erfollegräichen curl géint de Service beweist d'Route, d'Politik an den Héierer op eemol, wärend en erfollegräiche Ping nëmmen beweist, datt ICMP erlaabt ass. Wann d'Ufro feelt, gitt réckwärts duerch déi dräi Deeler anstatt de Firewall ze verbreeden an ze hoffen.

Disponibilitéit gehéiert an déiselwecht Gespréich. E Laptop schléift, roamet tëscht Netzwierker an trennt um Enn vum Dag. En Service, deen zu all Stonn äntwerten muss, gehéiert op en ëmmer-un Host, wärend e Best-Effort-Service beim Client ka bleiwen mat där Aschränkung opgeschriwwen.

Publizéiert d'Ressource bewosst, mat engem Numm, enger Lëscht vun erlaabten Uruffer an engem Eegentemer, an den entfernten Apparat gëtt en ënnerstëtzte Service anstatt en zoufällechen Server.