SoftEther VPN Azure: un traseu prin releu, nu un port deschis

Serverul dumneavoastră stă în spatele unui router pe care nu îl puteți configura, așa că planul evident de a redirecționa un port nu este disponibil. VPN Azure există exact pentru acea situație și o rezolvă inversând direcția primei conexiuni: serverul se conectează spre un releu, iar clienții ajung la releu în locul serverului. Înțelegerea acestei inversări explică atât ce repară serviciul, cât și fiecare limită pe care o veți întâlni mai târziu.

Ce se schimbă pe traseu

Cu un ascultător convențional, un client deschide o conexiune TCP către o adresă publică pe care routerul o transmite serverului. Cu releul, serverul menține o conexiune de ieșire către infrastructura releului, iar releul acceptă conexiunile clienților și le transmite încărcătura serverului care așteaptă. Nu se deschide niciun port de intrare, nu este necesară o adresă statică, iar routerul rămâne neatins. Din punctul de vedere al firewall-ului, serverul este un client obișnuit de ieșire, motiv pentru care rețelele restrictive îl permit.

Releul atribuie acelui server un nume pe propriul domeniu, iar clienții sunt configurați să se conecteze acolo.

Acel nume aparține serviciului de releu, care nu este un Microsoft Azure VPN Gateway, deși ambele se numesc Azure ceva. Tratarea lor ca interschimbabile produce o configurație care nu poate funcționa.

Ce protocoale supraviețuiesc releului

Releul transportă protocolul SoftEther, iar proiectul documentează SSTP ca opțiune de client, ceea ce este util pentru că Windows include un client SSTP. Nu devine însă un purtător generic pentru fiecare ascultător de pe gazdă: un ascultător OpenVPN, un responder IPsec și un serviciu L2TP au nevoie fiecare de propriul punct final accesibil, iar niciunul nu este transportat prin releu doar pentru că serverul SoftEther este conectat.

Prin urmare, profilurile de client indică numele releului în locul adresei serverului, iar un profil existent construit pentru o conexiune directă nu va funcționa fără modificări. Verificați lista de clienți acceptați pentru versiunea pe care o rulați înainte de a proiecta în jurul unui protocol pe care releul nu îl transportă.

Ce nu face releul pentru dumneavoastră

Releul este un transport. Nu creează utilizatori, hub-uri virtuale, politici de acces sau rute și nu știe nimic despre rețelele private din spatele serverului. Dacă clienții la distanță trebuie să ajungă la o subrețea LAN, serverul are în continuare nevoie de configurația de punte sau de rutare, de calea de întoarcere și de politica de firewall care le fac funcționale. Planurile de adresare suprapuse la cele două capete sunt și ele invizibile pentru releu și rămân problema dumneavoastră de rezolvat.

Setările de securitate acceptate sunt tot ale dumneavoastră de ales. Documentația proiectului include exemple de platforme mai vechi, iar copierea unor setări vechi de criptare sau certificat dintr-o captură de ecran veche este o modalitate bună de a construi un tunel pe care nimeni nu îl poate audita. Folosiți ghidajul actual pentru versiunea pe care o rulați.

Validarea certificatelor și autentificarea utilizatorilor rămân responsabilitatea serverului, iar releul nu le înlocuiește niciodată pe niciuna.

Operați-l ca dependență

Disponibilitatea include acum o terță parte. Când releul nu este accesibil, clienții nu se pot conecta indiferent cât de sănătos este serverul, iar defecțiunea arată din exterior ca o problemă de client. Monitorizați traseul releului separat de sănătatea serverului și păstrați un plan de rezervă documentat, cum ar fi un ascultător direct pe altă adresă, pentru ziua în care contează.

Latența urmează geografia releului, nu proximitatea utilizatorilor, ceea ce merită măsurat înainte de a promite performanță interactivă prin el.

Verificați identitatea serverului și apoi un traseu real de aplicație, nu doar un banner de conectare reușită, și controlați dacă resursa de care aveți nevoie este accesibilă prin familia de adrese pe care o transportă releul. Notați numele releului, protocolul folosit și planul de rezervă, pentru că aceste trei fapte răspund la majoritatea întrebărilor viitoare despre această legătură.