Windows VPN tinklų sietuvas: trys užduotys, trys savininkai

Trys funkcijos sujungiamos kiekvieną kartą, kai kas nors sako VPN serveris: užšifruoto tunelio uždarymas, paketų perkėlimas tarp tinklų ir, pasirinktinai, adresų perrašymas. Windows aplinkoje jos gyvena skirtingose dėklo dalyse, net kai viena mašina atlieka visas tris. Kiekviena turi savo įvestis ir savo gedimo būdą, ir kiekvieną galima perduoti kitam produktui. Atskirti jas popieriuje yra pigiausias būdas išlaikyti mažą diegimą suprantamą.

Skaitomas projektas įvardija kiekvieno srauto savininką, o ne aprašo mašiną kaip vaidmenį.

Uždaryti, persiųsti, išversti

RRAS tvarko tunelį natūraliu Windows atveju: autentifikuoja vartotoją, priskiria adresą iš telkinio ir nusprendžia, kurie tikslai leidžiami. Kitas VPN produktas gali vietoj to valdyti klausytoją ir virtualų adapterį, o Windows palikti persiųsti iššifruotus paketus. Microsoft Remote Access dokumentacija atskiria VPN, svetainės į svetainę ir maršrutizavimo vaidmenis, o maršrutizavimo vaidmens įdiegimas nesukuria antros VPN tapatybės. Pridėjus dar vieną VPN programą, jos adapteris taip pat neperduodamas visoms esamoms tinklų sietuvo funkcijoms.

Vertimas yra trečioji ir labiausiai pasirinktinė užduotis. Ji ateina po persiuntimo ir pakeičia šaltinio adresą, kurį mato nuotolinis tinklas. Ar jos reikia, priklauso nuo to, ką paskirties tinklas priims kaip šaltinį, o ne nuo to, kad mašina vadinama VPN tinklų sietuvu.

Kam priklauso adapteris ir telkinys

Kai keli produktai dalijasi pagrindiniu kompiuteriu, keturi dalykai turi po vieną savininką: klausymosi prievadai, adapterio gyvavimo trukmė, klientų adresų telkinys ir maršrutai. Adapteris yra nepatogiausias, nes VPN tarnyba gali jį sukurti dinamiškai ir sunaikinti atsijungus. Traktuoti tą sąsają kaip nuolat pavadintą tinklo kortą ir rašyti taisykles prieš jos pavadinimą veikia iki kito prisijungimo. Naudokite produkto palaikomą integracijos tašką, o ne kietai užkoduokite sąsajos pavadinimą.

Adresų telkinys yra antroji kolizija. Du produktai, išduodantys persidengiančius diapazonus, sukuria maršrutizavimą, kuris atrodo teisingai ir nieko nepristato. Laikykite telkinius tame pačiame dokumente kaip maršrutus, kad vieno pakeitimas būtų matomas kito atžvilgiu.

Išsaugokite šaltinį arba perrašykite jį

Kliento šaltinio adreso išsaugojimas palaiko matomumą pagal vartotoją: žurnalai, kvotos ir ugniasienės taisyklės gali atskirti vieną vartotoją nuo kito. Kaina ta, kad paskirties LAN reikia grąžinimo maršruto link tinklų sietuvo, ir kažkas turi jį prižiūrėti. Šaltinio perrašymas su NAT pašalina tą reikalavimą ir pašalina matomumą kartu su juo. Rinkitės sąmoningai ir užsirašykite, kokią informaciją perrašymas paslepia.

Prieiga prie privataus tinklo, išėjimas į internetą ir ryšiai, pasibaigiantys pačiame tinklų sietuve, yra trys skirtingi keliai. Ne visiems reikia vienodo traktavimo.

Aprašykite srautą vienu sakiniu

Vienas sakinys turėtų aprašyti projektą: kuriuos klientus ši tarnyba priima, kokius išteklius suteikia ta persiuntimo politika ir kaip grąžinimo kelias užbaigia srautą. Jei sakiniui, kad būtų teisingas, reikia antro NAT sluoksnio, tai paprastai ženklas, kad ankstesnės dalys nebuvo sutvarkytos. Pagrindinis kompiuteris taip pat yra bendra gedimo ir pasitikėjimo riba, todėl maršrutizavimo pakeitimas gali paveikti ir vartotojų prieigą, ir administravimą. Pastarajam palaikykite nepriklausomą atkūrimo kelią.

Laikykite vaidmenų sąrašą šalia konfigūracijos: kuris produktas užbaigia, kuris persiunčia, kuris verčia ir kas gali pakeisti kiekvieną. Būtent šis sąrašas leidžia peržiūrėti kitą pakeitimą.

Kai sakinys tampa neaiškus, dar vienas vertimo sluoksnis jį retai paaiškina. Vieno pašalinimas paprastai paaiškina.