Кога клиент за далечински пристап треба да дејствува како филијална порта

Преносно сметач поврзано со VPN може да стигне до централата. Печатачот и датотечниот сервер на истото биро не можат, бидејќи ништо не ги проследува нивните пакети во тој тунел ниту ги враќа одговорите. Претворањето на клиентот во филијална порта е одлука за рутирање и сопственост пред да биде одлука за конфигурација. Името на протоколот на кутијата не одговара дали таа улога е поддржана.

Што не ви кажува етикетата на протоколот

OpenVPN документира дизајн од локација до локација во кој поврзувач проследува цела подмрежа, а Access Server го спроведува со улога на порта и експлицитно рутирање. Друг производ продаван како SSL VPN може да нуди само функции за далечински корисник, без поддржан начин да се најави мрежа зад клиентот. Верзијата исто така е важна, бидејќи функција во едно издание не е ветување за друго. Читајте го спроведувањето што навистина го извршувате, и третирајте рецепт напишан за друг производ како навестување, не како дизајн.

Прашањето што прво треба да се реши е дали сопственикот на VPN воопшто ја поддржува улогата на проследување. Ако не, никакво рутирање на страната на клиентот не ја прави поддржана.

Договорот има две страни: филијала и централа

На страната на филијалата, еден домаќин ги поседува проследувањето, филтрирањето и враќањето. Му треба намерен пат од секој уред во филијалата, а надворешната VPN врска мора да остане достапна преку основната мрежа дури и кога тунелот е исклучен. На страната на централата, некој мора да ја дефинира филијалната подмрежа, да го прифати идентитетот на портата и да дозволи конкретни ресурси. Ниту една половина не работи сама.

Повратниот пат е делот што се прескокнува. Адресата на тунелот за клиентот не ја најавува подмрежата зад неа, затоа рутерите во централата бараат рута што за тој префикс покажува кон VPN портата.

Во рутиран дизајн, концентраторот проследува пакети за филијалниот префикс, а рутирањето на горниот LAN знае како да ги врати одговорите. Во преведен дизајн, изворот што го гледа централата се препишува, што може да ја отстрани потребата од една повратна рута, но крие која филијална машина го испратила сообраќајот. Тој компромис припаѓа во документот за дизајн, бидејќи евиденциите на апликациите и правилата за пристап ја губат идентитетот по уред кога ќе влезе преводот.

Рутирано или преведено: изберете го повратниот пат свесно

Изберете рутирано кога идентитетот по уред и политиката по домаќин се важни и можете да ја одржувате повратната рута на секој релевантен рутер.

Изберете преведено кога не можете да додавате рути, но можете да прифатите дека централата гледа една изворна адреса. Мешаните дизајни постојат и потешко се размислува за нив, затоа запишете кои префикси се рутирани, а кои преведени. Потоа проверете го изборот со снимање на двата краја наместо да ѝ верувате на состојбата на тунелот.

Корисна проверка е асиметрична: побарајте ресурс од филијален уред, потоа потврдете дека одговорот ја напушта централата кон филијалниот префикс. traceroute -n 10.60.4.20 од домаќин во централата покажува дали тој пат оди преку VPN портата.

Управувајте со тоа како инфраструктура, а не како најава

Одлучете како портата се стартува, автентицира, ажурира и враќа кога никој не е најавен. Обновувањето на акредитивите, барањата за повеќе фактори, однесувањето при спиење и тоа кој реагира кога филијалата ќе го загуби пристапот стануваат оперативни прашања. Неколку луѓе што делат еден мрежен пат не смеат да ги наследат личните привилегии на корисникот на портата, затоа авторизацијата на ресурси, опсегот на евидентирање и политиката за грешка бараат именуван сопственик. Споделувањето сметка за да се избегне регистрација на секој уред не е дизајн.

Споредете го распоредот со поддржана локациска порта при истите барања пред да се обврзете. Повторната употреба на стар десктоп не ја отстранува работата на одржување или враќање, а цената од втора рака не ги опишува оперативните трошоци.

Валидирајте ги предвидените филијални апликации, нивниот повратен сообраќај и една одбиена дестинација според одобрен план. Успехот изгледа како сопствена мрежна услуга со именуван филијален идентитет и експлицитна политика, а не како прозорец на клиент што пишува Поврзано.