Môže roamingový VPN klient hostovať službu pre kanceláriu?

Roamingový klient môže obsluhovať kancelárske systémy len vtedy, keď k nemu brána smeruje, hostiteľská politika to dovoľuje a zariadenie zostane dostatočne dlho dostupné.

Váš kancelársky notebook sa môže pripojiť z domu a napriek tomu poskytovať niečo, čo kancelária potrebuje, ale len keď sa zhodnú tri samostatné rozhodnutia. Tunel je preprava, vnútorná adresa je cieľ a politika rozhoduje, kto smie zaklopať. Ak ktorékoľvek z nich považujete za celú odpoveď, dostanete známu sťažnosť: hostiteľ odpovedá na pingy, ale aplikácia sa nikdy nepripojí. Roly nie sú rovnaké a rozdiel je presne tam, kde leží návrhová práca.

Smer pripájania nehovorí nič o smere služby

Keď klient spustí tunel, otvorí cestu, ktorú po jej vzniku môžu používať oba smery. Či nové spojenie smie vstúpiť z hubu smerom k tomuto klientovi, je otázka politiky brány, nie vlastnosť toho, kto sa pripojil. Napríklad na smerovanom hube OpenVPN server potrebuje trasu k vnútornej adrese klienta a preposielanie, ktoré povoľuje vzťah peerov.

Predstavte si inventarizačný systém, ktorý sa dopytuje agenta na roamingových notebookoch, alebo vývojára, ktorý potrebuje testovacie API z pracovnej stanice doma. Obaja chcú, aby rozhovor začala kancelárska strana, čo je opak bežného vzorca klient-server.

Hostované produkty vzdialeného prístupu sa tu líšia a tá odlišnosť nie je chyba. Niektoré spravované VPN zámerne blokujú nevyžiadané spojenia smerom k pripojeným klientom, pretože ich model je klient-k-zdroju, nie zdroj-ku-klientovi. Prečítajte si dokumentovanú architektúru produktu, skôr než kolegovi sľúbite, že jeho notebook môže pôsobiť ako server.

Sledujte spiatočnú cestu, skôr než otvoríte port

Cesta má tri časti: trasu na bráne, ktorá ukazuje na vnútornú adresu klienta, politiku, ktorá povoľuje konkrétneho volajúceho, a načúvajúcu službu na cieli. Každá časť zlyháva inak, preto „VPN beží“ nehovorí takmer nič.

Dobrá správa je, že vnútorná cesta nepotrebuje presmerovanie portu na domácom routeri klienta. Práve o to ide pri publikovaní služby na adrese tunela namiesto domácej WAN adresy, kde by expozícia a pravidlá NAT boli úplne iné. Domáci router môže tiež odmietnuť hairpin spojenia prichádzajúceho z kancelárie, takže WAN trasa zlyhá z dôvodov nesúvisiacich s vašou VPN. Ponechanie prevádzky vnútri tunela sa vyhne obom problémom naraz.

Skontrolujte aj stranu cieľa. Služba viazaná len na 127.0.0.1 nemôže prijať spojenie prichádzajúce na rozhranie tunela, nech sú trasy brány akokoľvek správne. Pravidlo hostiteľského firewallu, ktoré povoľuje port len z lokálnej podsiete, tiež zahodí kancelársku prevádzku, a toto pravidlo je nezávislé od politiky VPN nad ním.

Mená a adresy sú návrhové rozhodnutia

Adresa vnútri tunela nie je automaticky meno. Súkromný DNS záznam, ktorý ovládate, je jasnejší než nádej, že protokol objavovania prejde tunelom, pretože link-local multicastové prekladanie mien zostáva v lokálnom segmente a nestáva sa DNS medzi podsieťami.

Stabilita adresy je rovnako dôležitá. Ak si VPN klienti berú adresy z poolu s krátkymi prenájmami, vnútorná adresa notebooku sa medzi reláciami mení a každá záložka, rozsah firewallu a monitorovacia kontrola postavená na nej sa ticho pokazí. Použite rezerváciu alebo dokumentovanú cestu dynamickej aktualizácie.

Dohodnite meno s tým, kto vlastní identitu VPN, aby sa záznam, pridelenie adresy a prístupová politika menili spoločne, a nie v troch samostatných tiketoch.

Testujte službu, nie členstvo

Na cieli overte, čo načúva a na ktorej adrese, potom overte pohľad brány na spiatočnú cestu:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Teraz otestujte z kancelárskej strany skutočnou požiadavkou namiesto ozveny. Úspešný curl voči službe preukáže trasu, politiku a načúvajúci proces naraz, kým úspešný ping preukáže len to, že je povolený ICMP. Ak požiadavka zlyhá, postupujte späť cez tri časti, namiesto aby ste rozširovali firewall a dúfali.

Dostupnosť patrí do toho istého rozhovoru. Notebook spí, roamuje medzi sieťami a na konci dňa sa odpojí. Služba, ktorá musí odpovedať v ktorúkoľvek hodinu, patrí na stále zapnutého hostiteľa, kým služba s najlepšou snahou môže zostať na klientovi s týmto obmedzením zapísaným.

Publikujte zdroj zámerne, s menom, zoznamom povolených volajúcich a vlastníkom, a vzdialené zariadenie sa stane podporovanou službou, nie náhodným serverom.

Súvisiace články