Jista' klijent VPN roaming jospita servizz għall-uffiċċju?

Il-laptop tal-uffiċċju tiegħek jista' jdawwal mid-dar u xorta jipprovdi xi ħaġa li l-uffiċċju għandu bżonn, imma biss meta tliet deċiżjonijiet separati jaqblu flimkien. It-tunnel huwa trasport, l-indirizz intern huwa d-destinazzjoni, u l-politika tiddeċiedi min jista' jħabbat. Jekk tittratta wieħed minnhom bħala t-tweġiba sħiħa, toħroġ l-ilment familjari li l-host iwieġeb għall-ping imma l-applikazzjoni qatt ma tqabbad. Ir-rwoli mhumiex l-istess, u d-differenza hija eżattament fejn tgħix ix-xogħol tad-disinn.

Id-direzzjoni tad-dawl ma tgħid xejn dwar id-direzzjoni tas-servizz

Meta klijent jibda tunnel, dan jiftaħ triq li ż-żewġ direzzjonijiet jistgħu jużaw ladarba teżisti. Jekk konnessjoni ġdida tistax tidħol mill-hub lejn dak il-klijent hija kwistjoni ta' politika tal-gateway, mhux proprjetà ta' min dawwal. Fuq hub OpenVPN bir-rotta, pereżempju, is-server jeħtieġ rotta lejn l-indirizz intern tal-klijent u forwarding li jippermetti r-relazzjoni bejn il-pari.

Immaġina sistema tal-inventarju li tistaqsi aġent fuq laptops roaming, jew żviluppatur li jeħtieġ API tat-test minn workstation id-dar. It-tnejn iridu li n-naħa tal-uffiċċju tibda l-konversazzjoni, li hija l-maqlub tal-mudell tas-soltu klijent-lejn-server.

Il-prodotti tal-aċċess mill-bogħod ospitati jvarjaw hawn, u l-varjazzjoni mhijiex bug. Xi VPN tas-servizz immaniġġjat jimblokkaw b'mod deliberat konnessjonijiet mhux mitluba lejn klijenti konnessi għax il-mudell tagħhom huwa klijent-lejn-riżors, mhux riżors-lejn-klijent. Aqra l-arkitettura dokumentata tal-prodott qabel ma twiegħed lil kollega li l-laptop tiegħu jista' jaġixxi bħala server.

Segwi t-triq lura qabel ma tiftaħ port

It-triq għandha tliet partijiet: rotta fuq il-gateway li tindika lejn l-indirizz intern tal-klijent, politika li tippermetti lill-ċempel speċifiku, u servizz li jisma' fuq il-mira. Kull parti tfalli b'mod differenti, għalhekk «il-VPN mixgħul» kważi ma jgħid xejn.

L-aħbar tajba hija li t-triq interna m'għandhiex bżonn port forwarding fuq ir-router tad-dar tal-klijent. Dan huwa s-sens li tippubblika s-servizz fl-indirizz tat-tunnel minflok fl-indirizz WAN tad-dar, fejn l-espożizzjoni u r-regoli NAT ikunu kompletament differenti. Router tad-dar jista' wkoll jirrifjuta li jagħmel hairpin ta' konnessjoni li tiġi mill-uffiċċju, allura t-triq WAN tfalli għal raġunijiet mhux relatati mal-VPN tiegħek. Iż-żamma tat-traffiku ġewwa t-tunnel tevita ż-żewġ problemi f'daqqa.

Iċċekkja wkoll in-naħa tal-mira. Servizz marbut biss ma' 127.0.0.1 ma jistax jaċċetta konnessjoni li tasal fuq l-interface tat-tunnel, kemm kemm huma korretti r-rotot tal-gateway. Regola tal-firewall tal-host li tippermetti l-port biss mis-subnet lokali wkoll tarmi t-traffiku tal-uffiċċju, u dik ir-regola hija indipendenti mill-politika tal-VPN fuqha.

L-ismijiet u l-indirizzi huma deċiżjonijiet tad-disinn

Indirizz ġewwa t-tunnel mhuwiex awtomatikament isem. Rekord DNS privat li tikkontrolla huwa aktar ċar milli tittama li protokoll ta' skoperta jaqsam it-tunnel, għax is-soluzzjoni tal-ismijiet b'multicast link-local tibqa' fuq is-segment lokali u ma ssirx DNS bejn is-subnets.

L-istabbiltà tal-indirizz hija importanti bl-istess mod. Jekk il-klijenti VPN jiġbdu minn pool b'kiri qosra, l-indirizz intern tal-laptop jinbidel bejn is-sessjonijiet u kull bookmark, ambitu tal-firewall u verifika tal-monitoraġġ mibnija fuqu jitkissru bil-kwiet. Uża riserva jew triq dokumentata ta' aġġornament dinamiku.

Ittieħed qbil dwar l-isem ma' min jippossjedi l-identità tal-VPN, sabiex ir-rekord, l-allokazzjoni tal-indirizz u l-politika tal-aċċess jinbidlu flimkien u mhux fi tliet tickets separati.

Ittestja s-servizz, mhux is-sħubija

Mill-mira, ikkonferma x'inhu jisma' u fuq liema indirizz, imbagħad ikkonferma l-veduta tal-gateway tat-triq lura:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Issa ipprova min-naħa tal-uffiċċju b'talba reali minflok eku. curl li jirnexxi kontra s-servizz jipprova t-triq, il-politika u s-semmiegħ f'daqqa, filwaqt li ping li jirnexxi jipprova biss li l-ICMP huwa permess. Jekk it-talba tfalli, mur lura permezz tat-tliet partijiet minflok ma tespandi l-firewall u tittama.

Id-disponibbiltà tappartjeni għall-istess konversazzjoni. Laptop jorqod, roaming bejn in-netwerks u jaqta' fl-aħħar tal-ġurnata. Servizz li jrid iwieġeb f'kull siegħa jappartjeni għal host dejjem mixgħul, filwaqt li servizz bl-aħjar sforz jista' jibqa' fuq il-klijent b'dik il-limitazzjoni miktuba.

Ippubblika r-riżors b'mod deliberat, b'isem, lista ta' ċempel permessi u proprjetarju, u l-apparat mill-bogħod isir servizz appoġġjat minflok server aċċidentali.