Kad attālinātās piekļuves klientam jādarbojas kā filiāles vārtejai

Klēpjdators, kas pieslēgts VPN, var sasniegt galveno biroju. Printeris un failu serveris uz tā paša galda nevar, jo nekas nepārsūta to paketes šajā tunelī un neatgriež atbildes. Klienta pārvēršana filiāles vārtejā ir maršrutēšanas un atbildības lēmums pirms tā ir konfigurācijas lēmums. Protokola nosaukums uz kastes neatbild, vai šī loma tiek atbalstīta.

Ko protokola etiķete jums nepasaka

OpenVPN dokumentē vietnes-uz-vietni dizainu, kurā savienotājs pārsūta visu apakštīklu, un Access Server to īsteno ar vārtejas lomu un skaidru maršrutēšanu. Cits produkts, kas tirgots kā SSL VPN, var piedāvāt tikai attālināta lietotāja funkcijas, bez atbalstīta veida, kā paziņot tīklu aiz klienta. Arī versijai ir nozīme, jo funkcija vienā laidienā nav solījums par citu. Lasiet ieviešanu, ko faktiski izmantojat, un recepti, kas rakstīta citam produktam, uzskatiet par mājienu, nevis dizainu.

Vispirms risināmais jautājums ir, vai VPN īpašnieks vispār atbalsta pārsūtīšanas lomu. Ja ne, neviena maršrutēšana klienta pusē to nepadara atbalstītu.

Līgumam ir divas puses: filiāle un galvenais birojs

Filiāles pusē viens resursdators pārvalda pārsūtīšanu, filtrēšanu un atjaunošanu. Tam vajadzīgs apzināts ceļš no katras filiāles ierīces, un ārējam VPN savienojumam jāpaliek sasniedzamam caur pamata tīklu arī tad, kad tunelis ir izslēgts. Galvenā biroja pusē kādam jādefinē filiāles apakštīkls, jāpieņem vārtejas identitāte un jāatļauj konkrēti resursi. Neviens pusnēmums nestrādā viens.

Atgriešanās ceļš ir daļa, kas tiek izlaista. Tunela adrese klientam nepaziņo aiz tā esošo apakštīklu, tāpēc galvenā biroja maršrutētājiem vajadzīgs maršruts, kas šim prefiksam norāda uz VPN vārteju.

Maršrutētā dizainā koncentrators pārsūta filiāles prefiksa paketes, un virsējā LAN maršrutēšana zina, kā atgriezt atbildes. Tulkotā dizainā avots, ko redz galvenais birojs, tiek pārrakstīts, kas var novērst vajadzību pēc viena atgriešanās maršruta, vienlaikus slēpjot, kura filiāles mašīna nosūtīja trafiku. Šis kompromiss pieder dizaina dokumentam, jo lietojumprogrammu žurnāli un piekļuves noteikumi zaudē ierīces identitāti, tiklīdz tulkošana ir iesaistīta.

Maršrutēts vai tulkots: izvēlieties atgriešanās ceļu apzināti

Izvēlieties maršrutētu, kad svarīga ir katras ierīces identitāte un katra resursdatora politika un jūs varat uzturēt atgriešanās maršrutu katrā attiecīgajā maršrutētājā.

Izvēlieties tulkotu, kad nevarat pievienot maršrutus, bet varat pieņemt, ka galvenais birojs redz vienu avota adresi. Jaukti dizaini pastāv, un par tiem domāt ir grūtāk, tāpēc pierakstiet, kuri prefiksi ir maršrutēti un kuri tulkoti. Pēc tam pārbaudiet izvēli ar ierakstu abos galos, nevis paļaujoties uz tuneļa stāvokli.

Noderīga pārbaude ir asimetriska: pieprasiet resursu no filiāles ierīces, pēc tam apstipriniet, ka atbilde atstāj galveno biroju virzienā uz filiāles prefiksu. traceroute -n 10.60.4.20 no galvenā biroja resursdatora parāda, vai šis ceļš iet caur VPN vārteju.

Pārvaldiet to kā infrastruktūru, nevis kā pieteikšanos

Izlemiet, kā vārteja startē, autentificējas, atjauninās un atjaunojas, kad neviens nav pieteicies. Akreditācijas datu atjaunošana, daudzfaktoru uzvednes, miega uzvedība un tas, kas reaģē, kad filiāle zaudē piekļuvi, visi kļūst par operatīviem jautājumiem. Vairāki cilvēki, kas dala vienu tīkla ceļu, nedrīkst mantot vārtejas lietotāja personiskās privilēģijas, tāpēc resursu autorizācijai, žurnālēšanas apjomam un kļūmes politikai vajadzīgs nosaukts īpašnieks. Konta koplietošana, lai izvairītos no katras ierīces reģistrācijas, nav dizains.

Salīdziniet šo kārtību ar atbalstītu vietnes vārteju pie tām pašām prasībām pirms saistību uzņemšanās. Vecā galddatora atkārtota izmantošana neizslēdz apkopi vai atjaunošanu, un lietotas preces cena neapraksta ekspluatācijas izmaksas.

Validējiet paredzētās filiāles lietojumprogrammas, to atgriešanās trafiku un vienu noraidītu galamērķi saskaņā ar apstiprinātu plānu. Panākumi izskatās kā pašu tīkla pakalpojums ar nosauktu filiāles identitāti un skaidru politiku, nevis klienta logs ar uzrakstu Savienots.