Роуминг VPN клиент оффисын үйлчилгээг хостлож чадах уу?

Роуминг клиент оффисын системд үйлчлэх нь гарц түүн рүү чиглүүлэх, хост бодлого зөвшөөрөх, төхөөрөмж хангалттай удаан хүртээмжтэй байх гурван нөхцөл зэрэг биелэхэд л болно.

Таны оффисын зөөврийн компьютер гэрээс холбогдож, оффисын хэрэгтэй зүйлийг үргэлжлүүлэн үзүүлж чадна, гэхдээ гурав өөр шийдвэр давхцсан үед л. Туннель бол тээвэр, дотоод хаяг бол очих газар, бодлого хэн тогшиж болохыг шийднэ. Эдгээрийн аль нэгийг бүрэн хариулт гэж үзвэл танил гомдол гарна: хост ping-д хариулдаг ч програмын холболт хэзээ ч үүсдэггүй. Үүргүүд ижил биш бөгөөд ялгаа нь дизайны ажил орших яг тэр газарт байна.

Холбогдох чиглэл үйлчилгээний чиглэлийн талаар юу ч хэлэхгүй

Клиент туннель эхлүүлэхэд бий болсны дараа хоёр чиглэл хоёулаа ашиглаж болох замыг нээнэ. Шинэ холболт төвөөс тэр клиент рүү орж болох эсэх нь гарцын бодлогын асуудал бөгөөд холбогдсон хүний шинж биш. Жишээлбэл, чиглүүлсэн OpenVPN төвд серверт клиентийн дотоод хаяг руу чиглэсэн маршрут болон тэнцүү түншийн харилцааг зөвшөөрөх дамжуулалт хэрэгтэй.

Роуминг зөөврийн компьютер дээрх агентыг асуудаг бараа бүртгэлийн систем эсвэл гэрийн ажлын станцаас туршилтын API хэрэгтэй хөгжүүлэгчийг төсөөлөөрэй. Хоёулаа оффисын тал яриаг эхлүүлэхийг хүсдэг бөгөөд энэ нь ердийн клиентээс сервер рүү чиглэх загварын эсрэг юм.

Хостлогдсон алсын хандалтын бүтээгдэхүүн энд ялгаатай бөгөөд энэ ялгаа нь алдаа биш. Зарим удирдлагатай VPN үйлчилгээ холбогдсон клиентүүд рүү хүсээгүй холболтыг санаатайгаар блоклодог, учир нь тэдний загвар клиентээс нөөц рүү, нөөцөөс клиент рүү биш. Хамт олонд түүний зөөврийн компьютер сервер болж чадна гэж амлахын өмнө бүтээгдэхүүний баримтжуулсан архитектурыг уншаарай.

Порт нээхээс өмнө буцах замыг дагаарай

Зам гурван хэсэгтэй: гарц дээр клиентийн дотоод хаяг руу заасан маршрут, тодорхой дуудагчийг зөвшөөрөх бодлого, зорилт дээр сонсож буй үйлчилгээ. Хэсэг бүр өөр өөрөөр бүтэлгүйтдэг тул «VPN асаалттай» гэдэг бараг юу ч хэлэхгүй.

Сайн мэдээ нь дотоод замд клиентийн гэрийн чиглүүлэгч дээр порт дамжуулалт шаардлагагүй. Үйлчилгээг гэрийн WAN хаяг дээр биш, туннелийн хаяг дээр нийтлэх утга нь энэ бөгөөд гэрийн WAN хаяг дээр илрэл болон NAT дүрэм огт өөр байх байсан. Гэрийн чиглүүлэгч оффисоос ирэх холболтыг hairpin хийхээс татгалзаж болох тул WAN зам таны VPN-тэй холбоогүй шалтгаанаар бүтэлгүйтдэг. Хөдөлгөөнийг туннель дотор байлгах нь хоёр асуудлыг зэрэг зайлсхийлнэ.

Зорилтын талыг ч шалгаарай. Зөвхөн 127.0.0.1-тэй холбогдсон үйлчилгээ туннелийн интерфэйсээр ирэх холболтыг хүлээж авахгүй, гарцын маршрут хэчнээн зөв байсан ч. Портыг зөвхөн орон нутгийн дэд сүлжээнээс зөвшөөрөх хостийн галт хананы дүрэм ч оффисын хөдөлгөөнийг хаяж, энэ дүрэм дээших VPN бодлогоос хамааралгүй.

Нэр, хаяг нь дизайны шийдвэр юм

Туннель доторх хаяг автоматаар нэр болохгүй. Таны хянадаг хувийн DNS бичлэг илрүүлэх протокол туннелийг давана гэж найдахаас илүү тодорхой, учир нь орон нутгийн multicast нэр шийдвэрлэлт орон нутгийн сегментэд үлдэж, дэд сүлжээ хоорондын DNS болдоггүй.

Хаягийн тогтвортой байдал ч адил чухал. Хэрэв VPN клиентүүд богино хугацааны түрээсийн сангаас авдаг бол зөөврийн компьютерын дотоод хаяг сессүүдийн хооронд өөрчлөгдөж, түүн дээр баригдсан хавчуурга, галт хананы хүрээ, хяналтын шалгалт бүгд чимээгүй эвдэрдэг. Нөөцлөлт эсвэл баримтжуулсан динамик шинэчлэлтийн зам ашиглаарай.

Нэрийг VPN таних тэмдгийн эзэнтэй тохиролцоорой, ингэснээр бичлэг, хаяг хуваарилалт, хандалтын бодлого гурван тусдаа тасалбарт биш, хамт өөрчлөгдөнө.

Гишүүнчлэл биш, үйлчилгээг туршаарай

Зорилтоос юу, ямар хаяг дээр сонсож байгааг баталгаажуулж, дараа нь буцах замын талаарх гарцын харагдацыг баталгаажуулаарай:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Одоо оффисын талаас цуурай биш, бодит хүсэлтээр туршаарай. Үйлчилгээ рүү чиглэсэн амжилттай curl зам, бодлого, сонсогчийг нэгэн зэрэг нотолдог бол амжилттай ping зөвхөн ICMP зөвшөөрөгдсөнийг нотолдог. Хүсэлт бүтэлгүйтвэл галт ханыг өргөтгөж найдахын оронд гурван хэсгээр буцаж яв.

Хүртээмж нь мөн адил ярианы нэг хэсэг. Зөөврийн компьютер унтаж, сүлжээнүүдийн хооронд аялж, өдрийн төгсгөлд салдаг. Аль ч цагт хариулах ёстой үйлчилгээ байнга асаалттай хост дээр байх ёстой бол хамгийн сайн хичээлтийн үйлчилгээ энэ хязгаарлалтыг бичиж клиент дээр үлдэж болно.

Нөөцийг санаатайгаар нийтлээрэй, нэр, зөвшөөрөгдсөн дуудагчдын жагсаалт, эзэнтэйгээр, тэгвэл алсын төхөөрөмж санамсаргүй сервер биш, дэмжигдсэн үйлчилгээ болно.

Холбоотой нийтлэлүүд