Apabila klien akses jauh perlu bertindak sebagai gateway cawangan

Komputer riba yang disambungkan ke VPN boleh mencapai ibu pejabat. Pencetak dan pelayan fail di meja yang sama tidak boleh, kerana tiada apa menghantar paket mereka ke terowong itu atau membawa balasan kembali. Menukar klien menjadi gateway cawangan ialah keputusan penghalaan dan pemilikan sebelum ia menjadi keputusan konfigurasi. Nama protokol pada kotak tidak menjawab sama ada peranan itu disokong.

Apa yang label protokol tidak beritahu anda

OpenVPN mendokumenkan reka bentuk tapak-ke-tapak di mana penyambung menghantar seluruh subnet, dan Access Server melaksanakannya dengan peranan gateway dan penghalaan eksplisit. Produk lain yang dipasarkan sebagai VPN SSL mungkin hanya menawarkan fungsi pengguna jauh, tanpa cara yang disokong untuk mengumumkan rangkaian di belakang klien. Versi juga penting, kerana ciri dalam satu keluaran bukan janji tentang yang lain. Baca pelaksanaan yang benar-benar anda jalankan, dan anggap resipi yang ditulis untuk produk lain sebagai petunjuk, bukan reka bentuk.

Soalan yang perlu diselesaikan dahulu ialah sama ada pemilik VPN menyokong peranan penghantaran sama sekali. Jika tidak, tiada penghalaan di sebelah klien menjadikannya disokong.

Kontrak ini mempunyai dua sisi: cawangan dan ibu pejabat

Di sisi cawangan, satu hos memiliki penghantaran, penapisan dan pemulihan. Ia memerlukan laluan yang dirancang dari setiap peranti cawangan, dan sambungan VPN luar mesti kekal boleh dicapai melalui rangkaian asas walaupun terowong mati. Di sisi ibu pejabat, seseorang mesti mentakrifkan subnet cawangan, menerima identiti gateway dan membenarkan sumber tertentu. Tiada separuh yang berfungsi sendiri.

Laluan balik ialah bahagian yang dilepaskan. Alamat terowong untuk klien tidak mengumumkan subnet di belakangnya, jadi penghala di ibu pejabat memerlukan laluan yang menunjuk ke gateway VPN untuk awalan itu.

Dalam reka bentuk berpenghalaan, penumpu menghantar paket untuk awalan cawangan dan penghalaan LAN di atasnya tahu cara memulangkan balasan. Dalam reka bentuk diterjemah, sumber yang dilihat ibu pejabat ditulis semula, yang boleh menghapuskan keperluan satu laluan balik sambil menyembunyikan mesin cawangan mana yang menghantar trafik. Pertukaran itu milik dokumen reka bentuk, kerana log aplikasi dan peraturan akses kehilangan identiti setiap peranti sebaik sahaja terjemahan masuk.

Berpenghalaan atau diterjemah: pilih laluan balik dengan sedar

Pilih berpenghalaan apabila identiti setiap peranti dan dasar setiap hos penting dan anda boleh menyelenggara laluan balik pada setiap penghala yang berkaitan.

Pilih diterjemah apabila anda tidak boleh menambah laluan tetapi boleh menerima bahawa ibu pejabat melihat satu alamat sumber. Reka bentuk bercampur wujud dan lebih sukar difikirkan, jadi tuliskan awalan mana yang berpenghalaan dan mana yang diterjemah. Kemudian sahkan pilihan itu dengan tangkapan di kedua-dua hujung daripada mempercayai status terowong.

Semakan yang berguna bersifat asimetri: minta sumber daripada peranti cawangan, kemudian sahkan balasan meninggalkan ibu pejabat menuju awalan cawangan. traceroute -n 10.60.4.20 daripada hos di ibu pejabat menunjukkan sama ada laluan itu melalui gateway VPN.

Uruskannya seperti infrastruktur, bukan seperti log masuk

Tentukan bagaimana gateway bermula, mengesahkan, mengemas kini dan pulih apabila tiada sesiapa log masuk. Pembaharuan kelayakan, gesaan berbilang faktor, tingkah laku tidur dan siapa yang bertindak balas apabila cawangan kehilangan akses semuanya menjadi soalan operasi. Beberapa orang yang berkongsi satu laluan rangkaian tidak boleh mewarisi keistimewaan peribadi pengguna gateway, jadi kebenaran sumber, skop pengelogan dan dasar kegagalan memerlukan pemilik yang dinamakan. Berkongsi akaun untuk mengelak pendaftaran setiap peranti bukanlah reka bentuk.

Bandingkan susunan itu dengan gateway tapak yang disokong di bawah keperluan yang sama sebelum komited. Menggunakan semula desktop lama tidak menghapuskan kerja penyelenggaraan atau pemulihan, dan harga terpakai tidak menggambarkan kos operasi.

Sahkan aplikasi cawangan yang dimaksudkan, trafik baliknya dan satu destinasi yang ditolak di bawah pelan yang diluluskan. Kejayaan kelihatan seperti perkhidmatan rangkaian milik sendiri dengan identiti cawangan yang dinamakan dan dasar eksplisit, bukan tetingkap klien yang tertulis Bersambung.