Gdy klient dostępu zdalnego musi działać jako brama oddziału

Laptop połączony z VPN może dotrzeć do centrali. Drukarka i serwer plików na tym samym biurku nie mogą, ponieważ nic nie przekazuje ich pakietów do tego tunelu ani nie przynosi odpowiedzi z powrotem. Zamiana klienta w bramę oddziału jest decyzją o routingu i odpowiedzialności, zanim staje się decyzją o konfiguracji. Nazwa protokołu na pudełku nie odpowiada na pytanie, czy ta rola jest obsługiwana.

Czego nie mówi etykieta protokołu

OpenVPN opisuje projekt od lokacji do lokacji, w którym łącznik przekazuje całą podsieć, a Access Server realizuje go z rolą bramy i jawnym routingiem. Inny produkt sprzedawany jako VPN SSL może oferować tylko funkcje użytkownika zdalnego, bez obsługiwanego sposobu ogłoszenia sieci za klientem. Wersja też ma znaczenie, bo funkcja w jednym wydaniu nie jest obietnicą dotyczącą innego. Czytaj implementację, którą naprawdę uruchamiasz, a przepis napisany dla innego produktu traktuj jako wskazówkę, nie projekt.

Pytanie, które trzeba rozstrzygnąć najpierw, brzmi, czy właściciel VPN w ogóle obsługuje rolę przekazywania. Jeśli nie, żaden routing po stronie klienta tego nie zmieni.

Umowa ma dwie strony: oddział i centrala

Po stronie oddziału jeden host odpowiada za przekazywanie, filtrowanie i odtwarzanie. Potrzebuje przemyślanej ścieżki z każdego urządzenia oddziału, a zewnętrzne połączenie VPN musi pozostać osiągalne przez sieć bazową nawet wtedy, gdy tunel jest wyłączony. Po stronie centrali ktoś musi zdefiniować podsieć oddziału, zaakceptować tożsamość bramy i zezwolić na konkretne zasoby. Żadna połowa nie działa sama.

Ścieżka powrotna to część, którą się pomija. Adres tunelu dla klienta nie ogłasza podsieci za nim, więc routery w centrali potrzebują trasy wskazującej na bramę VPN dla tego prefiksu.

W projekcie routowanym koncentrator przekazuje pakiety dla prefiksu oddziału, a routing nadrzędnej sieci LAN wie, jak odesłać odpowiedzi. W projekcie tłumaczonym źródło, które widzi centrala, jest przepisywane, co może usunąć potrzebę jednej trasy powrotnej, ale ukrywa, która maszyna oddziału wysłała ruch. Ten kompromis należy do dokumentu projektowego, ponieważ logi aplikacji i reguły dostępu tracą tożsamość urządzenia, gdy w grę wchodzi tłumaczenie.

Routowany czy tłumaczony: wybierz ścieżkę powrotną świadomie

Wybierz routowany, gdy tożsamość urządzenia i polityka dla hosta mają znaczenie i możesz utrzymywać trasę powrotną na każdym odpowiednim routerze.

Wybierz tłumaczony, gdy nie możesz dodawać tras, ale akceptujesz, że centrala widzi jeden adres źródłowy. Projekty mieszane istnieją i trudniej je przemyśleć, więc zapisz, które prefiksy są routowane, a które tłumaczone. Następnie zweryfikuj wybór zrzutem na obu końcach zamiast ufać statusowi tunelu.

Przydatna kontrola jest asymetryczna: poproś o zasób z urządzenia oddziału, a następnie potwierdź, że odpowiedź opuszcza centralę w stronę prefiksu oddziału. traceroute -n 10.60.4.20 z hosta w centrali pokazuje, czy ta ścieżka przechodzi przez bramę VPN.

Eksploatuj to jak infrastrukturę, nie jak logowanie

Zdecyduj, jak brama startuje, uwierzytelnia się, aktualizuje i odtwarza, gdy nikt nie jest zalogowany. Odnawianie poświadczeń, monity wieloskładnikowe, zachowanie snu i to, kto reaguje, gdy oddział traci dostęp, stają się pytaniami operacyjnymi. Kilka osób dzielących jedną ścieżkę sieciową nie może dziedziczyć osobistych uprawnień użytkownika bramy, więc autoryzacja zasobów, zakres logowania i polityka awarii potrzebują nazwanego właściciela. Współdzielenie konta, by uniknąć rejestracji każdego urządzenia, nie jest projektem.

Porównaj to rozwiązanie z obsługiwaną bramą lokacji przy tych samych wymaganiach, zanim się zobowiążesz. Ponowne użycie starego komputera stacjonarnego nie usuwa pracy konserwacyjnej ani odtwarzania, a cena z drugiej ręki nie opisuje kosztu operacyjnego.

Zweryfikuj zamierzone aplikacje oddziału, ich ruch powrotny i jeden odrzucony cel zgodnie z zatwierdzonym planem. Sukces wygląda jak własna usługa sieciowa z nazwaną tożsamością oddziału i jawną polityką, a nie okno klienta z napisem Połączono.