Windows-VPN-Gateway: dräi Aufgaben, dräi Responsabel

Dräi Funktiounen ginn zesummengeboxt, wann een VPN-Server seet: den verschlësselten Tunnel ofschléissen, Paketen tëschent Netzwierker bewegen an optional Adressen ëmschreiwen. Op Windows liewen se an ënnerschiddlechen Deeler vum Stack, och wann eng eenzeg Maschinn se all dräi mécht. Jiddwereng huet hir eege Inputen an hir eege Ausfallmanéier, an jiddwereng kann engem anere Produkt iwwergi ginn. Se um Pabeier trennen ass dee bëllegsten Wee, eng kleng Installatioun verständlech ze halen.

En liesbaren Design nennt de Responsabelen vun all Flow, amplaz d’Maschinn als Roll ze beschreiwen.

Ofschléissen, viruleeden, iwwersetzen

RRAS geréiert den Tunnel am Windows-eegene Fall: et authentifizéiert de Benotzer, deelt eng Adress aus engem Pool zou an entscheet, wéi eng Destinatiounen erlaabt sinn. En anert VPN-Produkt kann amplaz de Lauschter an den virtuelle Adapter besëtzen an Windows d’decryptéiert Paketen viruleede loossen. D’Remote Access-Dokumentatioun vu Microsoft trennt VPN-, Site-to-Site- a Routingrollen, an d’Installatioun vun der Routingroll erstellt keng zweet VPN-Identitéit. Eng aner VPN-Applikatioun derbäi ze setzen gëtt hiren Adapter och net all bestoende Gateway-Funktioun.

D’Iwwersetzung ass déi drëtt an am meeschten optional Aufgab. Si kënnt nom Viruleeden an ännert d’Quelladress, déi dat wäit Netzwierk gesäit. Ob Dir se braucht, hänkt dovun of, wat dat Zilnetzwierk als Quell akzeptéiert, an net dovun, datt d’Maschinn en VPN-Gateway genannt gëtt.

Wiem gehéieren den Adapter an de Pool

Wann e puer Produkter den Host deelen, brauchen véier Saachen all ee eenzegen Responsabelen: Lauschterporten, d’Liewensdauer vum Adapter, de Clientadresspool an d’Routen. Den Adapter ass dee beschwéierlechen, well e VPN-Service en dynamesch erstelle kann an en beim Ofbrach zerstéiert. Dësen Interface als eng dauerhaft genannte Netzwierkkarte ze behandelen an Regele géint säin Numm ze schreiwen funktionéiert bis déi nächst Verbindung. Benotzt de vum Produkt ënnerstëtzten Integratiounspunkt amplaz en Interface-Numm haart ze codéieren.

Den Adresspool ass déi zweet Kollisioun. Zwee Produkter, déi iwwerlappend Beräicher ausdeelen, produzéieren eng Routing, déi richteg ausgesäit an näischt liwwert. Halt d’Pools am selwechten Dokument wéi d’Routen, sou datt eng Ännerung un deem engen géint deen aneren ze gesinn ass.

D’Quell behalen oder se ëmschreiwen

D’Quelladress vum Client ze behalen hält d’Sichtbarkeet pro Benotzer: Logbicher, Quoten a Firewallregele kënnen ee Benotzer vun engem aneren ënnerscheeden. De Präis ass, datt d’Zil-LAN eng Retourroute Richtung Gateway brauch an een se muss ënnerhalen. D’Quell mat NAT ëmschreiwen hieft dës Fuerderung op an hieft d’Sichtbarkeet domat op. Wielt bewosst a schreift op, wéi eng Informatioun d’Ëmschreiwung verstoppt.

Zougrëff op e privaten Netzwierk, Internet-Ausgang an d’Verbindungen, déi um Gateway selwer ophalen, sinn dräi ënnerschiddlech Weeër. Net all brauche déiselwecht Behandlung.

Beschreiwt de Flow an engem Saz

Een Saz sollt den Design beschreiwen: wéi eng Cliente dësen Service zouloosst, wéi eng Ressourcen déi Viruleedungspolitik gëtt a wéi de Retourwee de Flow komplette mécht. Wann de Saz eng zweet NAT-Schicht brauch, fir wouer ze sinn, ass dat meeschtens en Zeeche vu dass déi fréier Deeler net gekläert waren. Den Host ass och eng gedeelt Fehler- a Vertrauensgrenz, also kann eng Routingännerung souwuel de Benotzerzougrëff wéi d’Administratioun beaflossen. Halt en onofhängege Recuperatiounswee fir déi leschtgenannt.

Halt en Rollen-Inventar nieft der Konfiguratioun: wéi ee Produkt ofschléisst, wien viruleet, wien iwwersetzt a wien jiddwereng änneere kann. Déi Lëscht ass et, wat déi nächst Ännerung iwwerpréifbar mécht.

Wann de Saz onkloer gëtt, mécht eng aner Iwwersetzungsschicht en selten méi kloer. Eng ewechhuelen mécht et meeschtens.