Fjernåtkomst eller site-til-site-VPN: kva passar?

Ein reisande tilsett og eit filialkontor treng ulike tunnelar, og feil val gjev eit design som verkar i eit laboratorium og feilar den første måndagen. Fjernåtkomst knyter ei eining til ein gateway. Site-til-site knyter to gatewayar som representerer nettverk. Sjekklista nedanfor avgjer kva av dei kravet faktisk skildrar.

Kven ringjer, og kva står bak den som ringjer

Ved fjernåtkomst byggjer programvare på den berbare maskina eller telefonen tunnelen, og gatewayen autentiserer ein brukar, ei eining eller begge før han tildeler ei adresse og ruter. Ved site-til-site byggjer ruterar, brannmurar eller skya-gatewayar sambandet, og einingane bak dei brukar vanleg ruting i staden for å køyre ein klient. Den skilnaden avgjer kven som eig oppetida til tunnelen: eininga til ein tilsett i det første tilfellet, ei administrert eining i det andre. Han avgjer òg om autentiseringa skildrar ein person eller eit nettverk.

Stopp her viss kravet er at kvar maskin på eitt kontor når eit anna kontor utan oppsett per eining. Det er site-til-site, og ein haug med fjernåtkomstinnloggingar er ein dårleg erstatning.

Adressering og returvegen

Planlegg åtskilde lokale og eksterne område. To stader kan bruke same private subnett, og designet treng då omsetjing eller omnummerering før ruting kan vere eintydig. Ein heimeruter med same område som hovudkontoret skaper det same problemet for éin ekstern arbeidstakar. Overlapp er vanleg nok til at kontroll av det høyrer til den første samtalen.

Returvegen tyder like mykje som den utgåande vegen. Ein server kan ta imot ein førespurnad og likevel ikkje ha noka rute tilbake til klientnettet.

Dokumenter kva ruter som kjenner det eksterne prefikset, særleg med skynettverk og fleire gatewayar. Eit grønt tunnelikon kan ikkje svare på om ein destinasjon har ein fungerande returveg, og ein ping i éi retning kan heller ikkje. Ved fjernåtkomst eig gatewayen vanlegvis pool-ruta; ved site-til-site må kvar mellomliggjande ruter som ber prefikset, vere samd. Omsetjing kan skjule ei manglande rute til ein applikasjon som byggjer inn adresser, bryt saman.

Internett-utgang er eit eige val

Privat tilgjenge krev ikkje at tunnelen ber offentleg surfing. Om vanleg webtrafikk går ut gjennom gatewayen, er eit andre val, teke per design og registrert i klientprofilen eller i konfigurasjonen for staden.

Full tunnel og delt tunnel er svar på det spørsmålet, ikkje på spørsmålet fjernåtkomst kontra site-til-site. Interne namn treng passande DNS i begge design, fordi ein offentleg resolver ikkje har noko svar på eit privat kontorvertsnamn. Å skyve ein resolver og å skyve ei standardrute er skylde innstillingar, og å endre den eine utan den andre gjev feil som ser ut som DNS-problem.

Bruk topologien til å avgrense feilen

Éi berbar maskin på farten mistar tilgang hos klienten, i sin eigen konto eller i sitt lokale nettverk. Ein heil filial mistar tilgang på delte stigar og gatewayar.

Kontroller først tunneloppbygginga, deretter ruter, deretter tillaten trafikk, deretter namneoppslag, deretter innlogging i applikasjonen, og stopp ved det første trinnet som feilar.ip route get 10.60.8.15 svarar på rutingsspørsmålet før du les éin einaste applikasjonslogg. Krypteringsinnstillingar rettar ikkje ein tillatingsfeil på ei delt fil, og ein fungerande ping beviser ikkje at ein applikasjon er autorisert. Å halde rekkjefølgja fast hindrar dei tilfeldige konfigurasjonsendringane som gjer éin feil til tre.

Til slutt, hald definisjonane rette når du les leverandørmateriell: ein kommersiell internett-utgangsserver er ei anna teneste enn ein bedrifts privat gateway og gjev ingen tilgang til nettet til den bedrifta.