Удалённый доступ или VPN сайт-сайт: что подходит?

Командированный сотрудник и филиал нуждаются в разных туннелях, и неверный выбор даёт решение, которое работает в лаборатории и отказывает в первый понедельник. Удалённый доступ соединяет устройство со шлюзом. Сайт-сайт соединяет два шлюза, представляющих сети. Приведённый ниже контрольный список определяет, какой из двух вариантов действительно описывает требование.

Кто набирает соединение и что стоит за тем, кто набирает

При удалённом доступе программа на ноутбуке или телефоне устанавливает туннель, а шлюз аутентифицирует пользователя, устройство или и то и другое, прежде чем выдать адрес и маршруты. При сайте-сайте маршрутизаторы, межсетевые экраны или облачные шлюзы устанавливают соединение, а устройства за ними используют обычную маршрутизацию вместо клиента. Это различие определяет, на кого ложится ответственность за работу туннеля: на устройство сотрудника в первом случае, на управляемое устройство во втором. Оно же определяет, описывает ли аутентификация человека или сеть.

Остановитесь здесь, если требование состоит в том, чтобы каждая машина одного офиса достигала другого офиса без настройки на каждом устройстве. Это сайт-сайт, а груда входов удалённого доступа — плохая замена.

Адресация и обратный путь

Планируйте отдельные локальные и удалённые диапазоны. Два сайта могут использовать одну и ту же частную подсеть, и тогда решению нужен трансляция или перенумерация, прежде чем маршрутизация станет однозначной. Домашний маршрутизатор с тем же диапазоном, что и головной офис, создаёт ту же проблему для одного удалённого сотрудника. Перекрытие достаточно обычно, чтобы его проверка относилась к первому разговору.

Обратный путь важен не меньше исходящего. Сервер может принять запрос и всё равно не иметь маршрута обратно в сеть клиента.

Задокументируйте, какой маршрутизатор знает удалённый префикс, особенно в облачных сетях и при нескольких шлюзах. Зелёный значок туннеля не может ответить, есть ли у назначения рабочий обратный путь, и ping в одну сторону тоже не может. При удалённом доступе шлюз обычно владеет маршрутом пула; при сайте-сайте каждый промежуточный маршрутизатор, несущий префикс, должен быть согласен. Трансляция может скрывать отсутствующий маршрут, пока не сломается приложение, встраивающее адреса.

Выход в интернет — отдельное решение

Частная доступность не требует, чтобы туннель нёс общий просмотр. Выходит ли обычный веб-трафик через шлюз — второе решение, которое принимают для каждого решения и записывают в профиле клиента или в конфигурации площадки.

Полный и разделённый туннель отвечают на этот вопрос, а не на вопрос удалённого доступа против сайта-сайта. Внутренним именам нужен подходящий DNS в обоих решениях, потому что публичный резолвер не имеет ответа для имени хоста частного офиса. Проталкивание резолвера и проталкивание маршрута по умолчанию — связанные настройки, и изменение одной без другой даёт отказы, похожие на проблемы DNS.

Используйте топологию, чтобы сузить неисправность

Один перемещающийся ноутбук теряет доступ у клиента, в своей учётной записи или в своей локальной сети. Целый филиал теряет доступ на общих путях и шлюзах.

Сначала проверьте установление туннеля, затем маршруты, затем разрешённый трафик, затем разрешение имён, затем вход в приложение и остановитесь на первом шаге, который не проходит.ip route get 10.60.8.15 отвечает на вопрос маршрутизации, прежде чем вы прочитаете хотя бы один журнал приложения. Настройки шифрования не исправляют ошибку прав доступа к общему файлу, а работающий ping не доказывает, что приложение авторизовано. Соблюдение порядка предотвращает случайные изменения конфигурации, которые превращают одну неисправность в три.

Наконец, держите определения точными, читая материалы поставщика: коммерческий сервер выхода в интернет — это другая услуга, чем частный шлюз компании, и он не даёт доступа к сети этой компании.