Quando um cliente de acesso remoto tem de funcionar como gateway de filial

Um portátil ligado a uma VPN consegue chegar à sede. A impressora e o servidor de ficheiros na mesma secretária não conseguem, porque nada reencaminha os pacotes deles para esse túnel nem traz as respostas de volta. Transformar o cliente num gateway de filial é uma decisão de encaminhamento e de propriedade antes de ser uma decisão de configuração. O nome do protocolo na caixa não responde se esse papel é suportado.

O que o rótulo do protocolo não lhe diz

OpenVPN documenta um desenho de local para local em que um conector reencaminha uma sub-rede inteira, e o Access Server implementa-o com um papel de gateway e encaminhamento explícito. Outro produto comercializado como VPN SSL pode expor apenas funções de utilizador remoto, sem qualquer forma suportada de anunciar uma rede por trás do cliente. A versão também conta, porque uma funcionalidade presente numa edição não é uma promessa sobre outra. Leia a implementação que realmente executa e trate uma receita escrita para outro produto como uma pista, não como um desenho.

A pergunta a resolver primeiro é se o proprietário da VPN suporta sequer o papel de reencaminhamento. Se não, nenhum encaminhamento do lado do cliente o torna suportado.

O contrato tem dois lados: filial e sede

Do lado da filial, um único anfitrião detém o reencaminhamento, a filtragem e a recuperação. Precisa de um caminho deliberado a partir de cada dispositivo da filial, e a ligação VPN exterior tem de continuar alcançável através da rede subjacente mesmo enquanto o túnel está em baixo. Do lado da sede, alguém tem de definir a sub-rede da filial, aceitar a identidade do gateway e permitir recursos específicos. Nenhuma metade funciona sozinha.

O caminho de regresso é a parte que se salta. Um endereço de túnel para o cliente não anuncia a sub-rede por trás dele, pelo que os routers da sede precisam de uma rota que aponte para o gateway VPN para esse prefixo.

Num desenho encaminhado, o concentrador reencaminha os pacotes do prefixo da filial e o encaminhamento da LAN superior sabe como devolver as respostas. Num desenho traduzido, a origem que a sede vê é reescrita, o que pode eliminar a necessidade de uma rota de regresso enquanto esconde qual máquina da filial enviou o tráfego. Esse compromisso pertence ao documento de desenho, porque os registos das aplicações e as regras de acesso perdem a identidade por dispositivo assim que entra a tradução.

Encaminhado ou traduzido: escolha o caminho de regresso deliberadamente

Escolha encaminhado quando a identidade por dispositivo e a política por anfitrião importam e consegue manter a rota de regresso em cada router relevante.

Escolha traduzido quando não consegue acrescentar rotas mas aceita que a sede veja um único endereço de origem. Existem desenhos mistos e são mais difíceis de raciocinar, por isso anote que prefixos são encaminhados e quais são traduzidos. Depois verifique a escolha com uma captura nos dois extremos em vez de confiar no estado do túnel.

Uma verificação útil é assimétrica: peça um recurso a um dispositivo da filial e depois confirme que a resposta sai da sede em direção ao prefixo da filial. traceroute -n 10.60.4.20 a partir de um anfitrião da sede mostra se esse caminho passa pelo gateway VPN.

Opere-o como infraestrutura, não como um início de sessão

Decida como o gateway arranca, se autentica, se atualiza e recupera sem ninguém com sessão iniciada. A renovação de credenciais, os pedidos multifator, o comportamento em suspensão e quem responde quando a filial perde o acesso tornam-se todos questões operacionais. Várias pessoas que partilham um caminho de rede não devem herdar os privilégios pessoais do utilizador do gateway, por isso a autorização de recursos, o âmbito do registo e a política de falha precisam de um proprietário nomeado. Partilhar uma conta para evitar o registo de cada dispositivo não é um desenho.

Compare a solução com um gateway de local suportado sob os mesmos requisitos antes de se comprometer. Reutilizar um computador de secretária antigo não elimina o trabalho de manutenção nem de recuperação, e o preço em segunda mão não descreve o custo operacional.

Valide as aplicações de filial previstas, o seu tráfego de regresso e um destino negado ao abrigo de um plano aprovado. O sucesso parece um serviço de rede próprio com uma identidade de filial nomeada e uma política explícita, não uma janela de cliente a dizer Ligado.