Keď musí klient pre vzdialený prístup pôsobiť ako pobočková brána

Prenosný počítač pripojený k VPN sa dostane do ústredia. Tlačiareň a súborový server na tom istom stole nie, pretože nič nepreposiela ich pakety do toho tunela ani nevracia odpovede. Premena klienta na pobočkovú bránu je rozhodnutie o smerovaní a zodpovednosti skôr, než je rozhodnutím o konfigurácii. Názov protokolu na škatuľke neodpovedá na to, či je táto rola podporovaná.

Čo vám štítok protokolu nepovie

OpenVPN dokumentuje návrh od lokality k lokalite, v ktorom konektor preposiela celú podsieť, a Access Server ho realizuje s rolou brány a explicitným smerovaním. Iný produkt predávaný ako SSL VPN môže ponúkať len funkcie vzdialeného používateľa, bez podporovaného spôsobu, ako oznámiť sieť za klientom. Aj verzia má význam, pretože funkcia v jednom vydaní nie je prísľubom o inom. Čítajte implementáciu, ktorú skutočne prevádzkujete, a recept napísaný pre iný produkt berte ako vodítko, nie ako návrh.

Otázka, ktorú treba vyriešiť najskôr, je, či vlastník VPN rolu preposielania vôbec podporuje. Ak nie, žiadne smerovanie na strane klienta ju podporovanou neurobí.

Zmluva má dve strany: pobočka a ústredie

Na strane pobočky vlastní preposielanie, filtrovanie a obnovu jeden hostiteľ. Potrebuje premyslenú cestu od každého pobočkového zariadenia a vonkajšie pripojenie VPN musí zostať dostupné cez podkladovú sieť aj vtedy, keď je tunel mimo prevádzky. Na strane ústredia musí niekto definovať pobočkovú podsieť, prijať identitu brány a povoliť konkrétne prostriedky. Ani jedna polovica nefunguje sama.

Spätná cesta je časť, ktorá sa preskakuje. Adresa tunela pre klienta neoznamuje podsieť za ním, takže smerovače v ústredí potrebujú trasu, ktorá pre tento prefix ukazuje na VPN bránu.

V smerovanom návrhu koncentrátor preposiela pakety pre pobočkový prefix a smerovanie nadradenej LAN vie, ako poslať odpovede späť. V prekladanom návrhu sa zdroj, ktorý ústredie vidí, prepisuje, čo môže odstrániť potrebu jednej spätnej trasy, ale skrýva, ktorý pobočkový stroj prevádzku odoslal. Tento kompromis patrí do návrhového dokumentu, pretože protokoly aplikácií a pravidlá prístupu strácajú identitu jednotlivých zariadení, keď do hry vstúpi preklad.

Smerované alebo prekladané: spätnú cestu vyberajte vedome

Zvoľte smerované, keď záleží na identite každého zariadenia a politike pre každého hostiteľa a spätnú trasu dokážete udržiavať na každom príslušnom smerovači.

Zvoľte prekladané, keď nemôžete pridávať trasy, ale môžete prijať, že ústredie vidí jednu zdrojovú adresu. Zmiešané návrhy existujú a je ťažšie o nich uvažovať, preto si zapíšte, ktoré prefixy sú smerované a ktoré prekladané. Potom voľbu overte zachytením na oboch koncoch namiesto toho, aby ste dôverovali stavu tunela.

Užitočná kontrola je asymetrická: vyžiadajte prostriedok z pobočkového zariadenia a potom potvrďte, že odpoveď opúšťa ústredie smerom k pobočkovému prefixu. traceroute -n 10.60.4.20 z hostiteľa v ústredí ukazuje, či táto cesta prechádza cez VPN bránu.

Prevádzkujte to ako infraštruktúru, nie ako prihlásenie

Rozhodnite, ako sa brána spúšťa, overuje, aktualizuje a obnovuje, keď nikto nie je prihlásený. Obnova prihlasovacích údajov, viacfaktorové výzvy, správanie pri spánku a to, kto reaguje, keď pobočka stratí prístup, sa stávajú prevádzkovými otázkami. Viacero ľudí zdieľajúcich jednu sieťovú cestu nesmie zdediť osobné oprávnenia používateľa brány, preto autorizácia prostriedkov, rozsah protokolovania a politika zlyhania potrebujú menovaného vlastníka. Zdieľanie účtu, aby sa obišla registrácia každého zariadenia, nie je návrh.

Porovnajte toto usporiadanie s podporovanou bránou lokality za rovnakých požiadaviek, než sa zaviažete. Opätovné použitie starého stolového počítača neodstraňuje prácu na údržbe ani obnove a cena z druhej ruky nepopisuje prevádzkové náklady.

Overte zamýšľané pobočkové aplikácie, ich spätnú prevádzku a jeden zakázaný cieľ podľa schváleného plánu. Úspech vyzerá ako vlastná sieťová služba s menovanou identitou pobočky a explicitnou politikou, nie ako okno klienta s nápisom Pripojené.