Vzdialený prístup alebo VPN site-to-site: čo sa hodí?

Cestujúci zamestnanec a pobočka potrebujú rôzne tunely a nesprávna voľba dá návrh, ktorý funguje v laboratóriu a zlyhá prvý pondelok. Vzdialený prístup spája zariadenie s bránou. Site-to-site spája dve brány, ktoré predstavujú siete. Kontrolný zoznam nižšie rozhodne, ktorý z nich požiadavku vlastne opisuje.

Kto vytáča spojenie a čo stojí za volajúcim

Pri vzdialenom prístupe tunel zostavuje softvér v notebooku alebo telefóne a brána pred pridelením adresy a trás overí používateľa, zariadenie alebo oboje. Pri site-to-site spojenie nadväzujú routery, firewally alebo cloudové brány a zariadenia za nimi používajú bežné smerovanie namiesto klientského programu. Tento rozdiel určuje, kto zodpovedá za dostupnosť tunela: zariadenie zamestnanca v prvom prípade, spravované zariadenie v druhom. Určuje aj to, či overenie opisuje osobu alebo sieť.

Zastavte sa tu, ak požiadavka znie, že každý stroj v jednej kancelárii má dosiahnuť inú kanceláriu bez nastavenia pre každé zariadenie. To je site-to-site a hromada vzdialených prihlásení je slabá náhrada.

Adresovanie a spiatočná cesta

Naplánujte oddelené miestne a vzdialené rozsahy. Dve lokality môžu používať rovnakú privátnu podsiev a návrh potom pred jednoznačným smerovaním potrebuje preklad alebo prečíslovanie. Domáci router s rovnakým rozsahom ako centrála vytvára rovnaký problém jednému vzdialenému pracovníkovi. Prekryv je dosť bežný na to, aby jeho kontrola patrila do prvého rozhovoru.

Spiatočná cesta je rovnako dôležitá ako odchádzajúca. Server môže prijať požiadavku a napriek tomu nemá trasu späť do klientskej siete.

Zaznamenajte, ktorý router pozná vzdialený prefix, najmä pri cloudových sieťach a viacerých bránach. Zelená ikona tunela nedokáže odpovedať, či má cieľ funkčnú spiatočnú trasu, a ping jedným smerom tiež nie. Pri vzdialenom prístupe zvyčajne trasu fondu vlastní brána; pri site-to-site sa musí zhodnúť každý medziľahlý router, ktorý prefix nesie. Preklad môže skryť chýbajúcu trasu, kým sa nepokazí aplikácia, ktorá vkladá adresy.

Výstup do internetu je samostatné rozhodnutie

Privátna dostupnosť nevyžaduje, aby tunel prenášal verejné prehliadanie. Či bežná webová prevádzka vychádza cez bránu, je druhé rozhodnutie, prijaté pre každý návrh a zaznamenané v profile klienta alebo v konfigurácii lokality.

Plný a rozdelený tunel odpovedajú na tú otázku, nie na otázku vzdialený prístup verzus site-to-site. Interné názvy potrebujú v oboch návrhoch vhodný DNS, pretože verejný resolver nemá odpoveď na názov hostiteľa privátnej kancelárie. Posielanie resolvera a posielanie predvolenej trasy sú súvisiace nastavenia a zmena jedného bez druhého dáva poruchy, ktoré vyzerajú ako problémy s DNS.

Použite topológiu na zúženie poruchy

Jeden putujúci notebook stráca prístup u klienta, vo svojom účte alebo vo svojej miestnej sieti. Celá pobočka stráca prístup na zdieľaných cestách a bránach.

Skontrolujte najprv zostavenie tunela, potom trasy, potom povolenú prevádzku, potom preklad názvov, potom prihlásenie do aplikácie a zastavte sa pri prvom kroku, ktorý zlyhá.ip route get 10.60.8.15 odpovedá na otázku smerovania skôr, než prečítate jediný log aplikácie. Nastavenia šifrovania neopravia chybu oprávnenia na zdieľanom súbore a fungujúci ping nedokazuje, že aplikácia je autorizovaná. Dodržanie poradia zabraňuje náhodným zmenám konfigurácie, ktoré z jednej poruchy urobia tri.

Nakoniec držte definície rovno, keď čítate materiály dodávateľa: komerčný server pre výstup do internetu je iná služba než privátna brána firmy a neposkytuje žiadny prístup do siete tejto firmy.