Kai nuotolinės prieigos klientas turi veikti kaip filialo tinklo vartai

Nešiojamasis kompiuteris, prijungtas prie VPN, gali pasiekti centrinę būstinę. To paties stalo spausdintuvas ir failų serveris negali, nes niekas neperduoda jų paketų į tą tunelį ir negrąžina atsakymų. Kliento pavertimas filialo vartais yra maršrutizavimo ir atsakomybės sprendimas prieš tai, kai jis tampa konfigūracijos sprendimu. Protokolo pavadinimas ant dėžutės neatsako, ar tas vaidmuo palaikomas.

Ko protokolo etiketė jums nepasako

OpenVPN dokumentuoja vietos į vietą sprendimą, kuriame jungtis perduoda visą potinklį, o Access Server įgyvendina jį su vartų vaidmeniu ir aiškiu maršrutizavimu. Kitas produktas, parduodamas kaip SSL VPN, gali siūlyti tik nuotolinio naudotojo funkcijas, be jokio palaikomo būdo paskelbti tinklą už kliento. Versija taip pat svarbi, nes vienos laidos funkcija nėra pažadas dėl kitos. Skaitykite diegimą, kurį iš tikrųjų naudojate, o receptą, parašytą kitam produktui, laikykite užuomina, ne projektu.

Pirmiausia spręstinas klausimas, ar VPN savininkas apskritai palaiko perdavimo vaidmenį. Jei ne, joks maršrutizavimas kliento pusėje to nepadarys palaikomu.

Sutartis turi dvi puses: filialas ir centrinė būstinė

Filialo pusėje vienas pagrindinis kompiuteris valdo perdavimą, filtravimą ir atkūrimą. Jam reikia apgalvoto kelio iš kiekvieno filialo įrenginio, o išorinis VPN ryšys turi likti pasiekiamas per pagrindinį tinklą net tada, kai tunelis neveikia. Centrinės būstinės pusėje kažkas turi apibrėžti filialo potinklį, priimti vartų tapatybę ir leisti konkrečius išteklius. Nė viena pusė neveikia viena.

Grįžtamasis kelias yra dalis, kuri praleidžiama. Kliento tunelio adresas neskelbia už jo esančio potinklio, todėl centrinės būstinės maršrutizatoriams reikia maršruto, kuris tam prefiksui nurodytų VPN vartus.

Maršrutizuotame sprendime koncentratorius perduoda filialo prefikso paketus, o viršutinio LAN maršrutizavimas žino, kaip grąžinti atsakymus. Išverstame sprendime šaltinis, kurį mato centrinė būstinė, perrašomas, o tai gali pašalinti vieno grįžtamojo maršruto poreikį, bet paslepia, kuri filialo mašina išsiuntė srautą. Šis kompromisas priklauso projektavimo dokumentui, nes programų žurnalai ir prieigos taisyklės praranda kiekvieno įrenginio tapatybę, kai įsijungia vertimas.

Maršrutizuota ar versta: grįžtamąjį kelią rinkitės sąmoningai

Rinkitės maršrutizuotą, kai svarbi kiekvieno įrenginio tapatybė ir kiekvieno pagrindinio kompiuterio politika ir galite palaikyti grįžtamąjį maršrutą kiekviename susijusiame maršrutizatoriuje.

Rinkitės verstą, kai negalite pridėti maršrutų, bet galite priimti, kad centrinė būstinė matys vieną šaltinio adresą. Mišrūs sprendimai egzistuoja ir juos sunkiau apgalvoti, todėl užrašykite, kurie prefiksai maršrutizuoti, o kurie versti. Tada patikrinkite pasirinkimą įrašu abiejuose galuose, o ne pasitikėdami tunelio būsena.

Naudingas patikrinimas yra asimetriškas: paprašykite ištekliaus iš filialo įrenginio, tada patvirtinkite, kad atsakymas palieka centrinę būstinę link filialo prefikso. traceroute -n 10.60.4.20 iš centrinės būstinės kompiuterio parodo, ar tas kelias eina per VPN vartus.

Valdykite tai kaip infrastruktūrą, o ne kaip prisijungimą

Nuspręskite, kaip vartai paleidžiami, autentifikuojami, atnaujinami ir atkuriami, kai niekas nėra prisijungęs. Kredencialų atnaujinimas, daugiafaktoriai raginimai, miego elgsena ir tai, kas reaguoja, kai filialas praranda prieigą, visi tampa operaciniais klausimais. Keli žmonės, dalijantys vieną tinklo kelią, neturi paveldėti vartų naudotojo asmeninių privilegijų, todėl išteklių autorizacijai, žurnalų apimčiai ir gedimo politikai reikia įvardyto savininko. Dalytis paskyra, kad būtų išvengta kiekvieno įrenginio registracijos, nėra projektas.

Palyginkite šią tvarką su palaikomais vietos vartais tomis pačiomis sąlygomis prieš įsipareigodami. Seno stalinio kompiuterio naudojimas iš naujo nepašalina priežiūros ar atkūrimo darbo, o naudoto daikto kaina neapibūdina eksploatavimo išlaidų.

Patikrinkite numatytas filialo programas, jų grįžtamąjį srautą ir vieną atmestą paskirties tašką pagal patvirtintą planą. Sėkmė atrodo kaip nuosava tinklo paslauga su įvardyta filialo tapatybe ir aiškia politika, o ne kliento langas su užrašu Prisijungta.