Wanneer een client voor toegang op afstand als filiaal-gateway moet dienen

Een laptop die met een VPN is verbonden, bereikt het hoofdkantoor. De printer en de fileserver op hetzelfde bureau niet, omdat niets hun pakketten die tunnel in stuurt of de antwoorden terugbrengt. De client omvormen tot een filiaal-gateway is een beslissing over routing en eigenaarschap voordat het een configuratiebeslissing is. De protocolnaam op de doos beantwoordt niet of die rol wordt ondersteund.

Wat het protocollabel je niet vertelt

OpenVPN documenteert een ontwerp van locatie naar locatie waarbij een connector een heel subnet doorstuurt, en Access Server voert dat uit met een gatewayrol en expliciete routing. Een ander product dat als SSL VPN wordt verkocht, biedt misschien alleen functies voor externe gebruikers, zonder een ondersteunde manier om een netwerk achter de client aan te kondigen. Ook de versie telt, want een functie in de ene uitgave is geen belofte over een andere. Lees de implementatie die je echt draait, en behandel een recept voor een ander product als een hint, niet als een ontwerp.

De vraag die eerst moet worden beslecht, is of de VPN-eigenaar de doorstuurrol wel ondersteunt. Zo niet, dan maakt geen enkele routing aan de clientkant die ondersteund.

Het contract heeft twee kanten: filiaal en hoofdkantoor

Aan de filiaalkant bezit één host het doorsturen, filteren en herstel. Die heeft een bewust pad nodig vanaf elk filiaalapparaat, en de buitenste VPN-verbinding moet via het onderliggende netwerk bereikbaar blijven, zelfs terwijl de tunnel platligt. Aan de kant van het hoofdkantoor moet iemand het filiaalsubnet definiëren, de identiteit van de gateway accepteren en specifieke resources toestaan. Geen van beide helften werkt alleen.

De retourweg is het deel dat wordt overgeslagen. Een tunneladres voor de client kondigt het subnet erachter niet aan, dus routers in het hoofdkantoor hebben een route nodig die voor dat prefix naar de VPN-gateway wijst.

In een gerouteerd ontwerp stuurt de concentrator pakketten voor het filiaalprefix door en weet de routing van de bovenliggende LAN hoe antwoorden teruggaan. In een vertaald ontwerp wordt de bron die het hoofdkantoor ziet herschreven, wat de behoefte aan één retourroute kan wegnemen maar verbergt welke filiaalmachine het verkeer stuurde. Die afweging hoort in het ontwerpdocument, omdat applicatielogs en toegangsregels de identiteit per apparaat verliezen zodra de vertaling in het spel komt.

Gerouteerd of vertaald: kies de retourweg bewust

Kies gerouteerd wanneer identiteit per apparaat en beleid per host ertoe doen en je de retourroute op elke relevante router kunt onderhouden.

Kies vertaald wanneer je geen routes kunt toevoegen maar kunt accepteren dat het hoofdkantoor één bronadres ziet. Gemengde ontwerpen bestaan en zijn lastiger te doordenken, dus schrijf op welke prefixen gerouteerd zijn en welke vertaald. Controleer de keuze daarna met een opname aan beide uiteinden in plaats van op de tunnelstatus te vertrouwen.

Een nuttige controle is asymmetrisch: vraag een resource op vanaf een filiaalapparaat en bevestig dan dat het antwoord het hoofdkantoor verlaat richting het filiaalprefix. traceroute -n 10.60.4.20 vanaf een host in het hoofdkantoor laat zien of dat pad via de VPN-gateway loopt.

Beheer het als infrastructuur, niet als een login

Bepaal hoe de gateway start, authenticeert, bijwerkt en herstelt terwijl niemand is ingelogd. Vernieuwing van inloggegevens, multifactorvragen, slaapgedrag en wie reageert als het filiaal de toegang verliest, worden allemaal operationele vragen. Meerdere mensen die één netwerkpad delen, mogen niet de persoonlijke privileges van de gatewaygebruiker erven, dus resourceautorisatie, logbereik en het storingsbeleid hebben een benoemde eigenaar nodig. Een account delen om inschrijving per apparaat te vermijden is geen ontwerp.

Vergelijk de opzet met een ondersteunde locatiegateway onder dezelfde eisen voordat je je vastlegt. Een oude desktop hergebruiken haalt onderhouds- of herstelwerk niet weg, en de tweedehandsprijs beschrijft de operationele kosten niet.

Valideer de bedoelde filiaalapplicaties, hun retourverkeer en één geweigerde bestemming onder een goedgekeurd plan. Succes ziet eruit als een eigen netwerkdienst met een benoemde filiaalidentiteit en een expliciet beleid, niet als een clientvenster dat Verbonden zegt.