Când un client de acces la distanță trebuie să acționeze ca poartă de sucursală

Un laptop conectat la un VPN poate ajunge la sediul central. Imprimanta și serverul de fișiere de pe același birou nu pot, pentru că nimic nu le trimite pachetele în acel tunel sau nu aduce răspunsurile înapoi. Transformarea clientului într-o poartă de sucursală este o decizie de rutare și de responsabilitate înainte de a fi o decizie de configurare. Numele protocolului de pe cutie nu răspunde dacă acel rol este acceptat.

Ce nu vă spune eticheta protocolului

OpenVPN documentează un proiect de la sediu la sediu în care un conector redirecționează o întreagă subrețea, iar Access Server îl implementează cu un rol de poartă și rutare explicită. Un alt produs comercializat ca VPN SSL poate oferi doar funcții pentru utilizatorul la distanță, fără nicio modalitate acceptată de a anunța o rețea din spatele clientului. Și versiunea contează, pentru că o funcție dintr-o ediție nu este o promisiune despre alta. Citiți implementarea pe care o rulați efectiv și tratați o rețetă scrisă pentru alt produs ca indiciu, nu ca proiect.

Întrebarea care trebuie lămurită mai întâi este dacă proprietarul VPN-ului acceptă deloc rolul de redirecționare. Dacă nu, nicio rutare pe partea clientului nu îl face acceptat.

Contractul are două părți: sucursala și sediul central

Pe partea sucursalei, un singur host deține redirecționarea, filtrarea și recuperarea. Are nevoie de o cale deliberată de la fiecare dispozitiv al sucursalei, iar conexiunea VPN exterioară trebuie să rămână accesibilă prin rețeaua de bază chiar și când tunelul este căzut. Pe partea sediului central, cineva trebuie să definească subrețeaua sucursalei, să accepte identitatea porții și să permită resurse specifice. Niciuna dintre jumătăți nu funcționează singură.

Calea de întoarcere este partea care este omisă. O adresă de tunel pentru client nu anunță subrețeaua din spatele ei, așa că routerele din sediu au nevoie de o rută care indică poarta VPN pentru acel prefix.

Într-un proiect rutat, concentratorul redirecționează pachetele pentru prefixul sucursalei, iar rutarea LAN-ului superior știe cum să trimită răspunsurile înapoi. Într-un proiect tradus, sursa pe care o vede sediul este rescrisă, ceea ce poate elimina nevoia unei rute de întoarcere, dar ascunde ce mașină a sucursalei a trimis traficul. Acel compromis aparține documentului de proiectare, pentru că jurnalele aplicațiilor și regulile de acces pierd identitatea pe dispozitiv de îndată ce intră în joc traducerea.

Rutat sau tradus: alegeți calea de întoarcere în cunoștință de cauză

Alegeți rutat când identitatea pe dispozitiv și politica pe host contează și puteți întreține ruta de întoarcere pe fiecare router relevant.

Alegeți tradus când nu puteți adăuga rute, dar acceptați că sediul vede o singură adresă sursă. Există proiecte mixte și sunt mai greu de analizat, așa că notați ce prefixe sunt rutate și care traduse. Apoi verificați alegerea cu o captură la ambele capete în loc să vă bazați pe starea tunelului.

O verificare utilă este asimetrică: cereți o resursă de la un dispozitiv al sucursalei, apoi confirmați că răspunsul părăsește sediul spre prefixul sucursalei. traceroute -n 10.60.4.20 de la un host din sediu arată dacă acea cale trece prin poarta VPN.

Operați-o ca infrastructură, nu ca o autentificare

Decideți cum pornește poarta, se autentifică, se actualizează și se recuperează atunci când nimeni nu este conectat. Reînnoirea acreditărilor, solicitările cu mai mulți factori, comportamentul de somn și cine răspunde când sucursala pierde accesul devin toate întrebări operaționale. Mai multe persoane care împart o singură cale de rețea nu trebuie să moștenească privilegiile personale ale utilizatorului porții, așa că autorizarea resurselor, sfera jurnalizării și politica de eșec au nevoie de un proprietar numit. Partajarea unui cont pentru a evita înregistrarea fiecărui dispozitiv nu este un proiect.

Comparați aranjamentul cu o poartă de sediu acceptată în aceleași cerințe înainte de a vă angaja. Reutilizarea unui desktop vechi nu elimină munca de întreținere sau recuperare, iar prețul la mâna a doua nu descrie costul operațional.

Validați aplicațiile de sucursală vizate, traficul lor de întoarcere și o destinație refuzată conform unui plan aprobat. Succesul arată ca un serviciu de rețea propriu, cu o identitate de sucursală numită și o politică explicită, nu ca o fereastră de client care spune Conectat.