Brána VPN vo Windows: tri úlohy, traja vlastníci

Tri funkcie sa spoja vždy, keď niekto povie server VPN: ukončenie šifrovaného tunela, presun paketov medzi sieťami a voliteľne prepisovanie adries. V systéme Windows žijú v rôznych častiach zásobníka, aj keď jeden stroj robí všetky tri. Každá má svoje vlastné vstupy a svoj vlastný spôsob zlyhania, a každú možno zveriť inému produktu. Oddeliť ich na papieri je najlacnejší spôsob, ako udržať malé nasadenie zrozumiteľné.

Čitateľný návrh pomenúva vlastníka každého toku namiesto toho, aby stroj opisoval ako rolu.

Ukončiť, preposlať, preložiť

RRAS obsluhuje tunel v natívnom prípade Windows: overí používateľa, pridelí adresu z fondu a rozhodne, ktoré ciele sú povolené. Iný produkt VPN môže namiesto toho vlastniť poslucháč a virtuálny adaptér a nechať Windows preposielať dešifrované pakety. Dokumentácia Microsoftu k Remote Access oddeľuje roly VPN, lokalita-lokalita a smerovanie a inštalácia roly smerovania nevytvára druhú identitu VPN. Pridanie ďalšej aplikácie VPN tiež neodovzdá jej adaptér všetkým existujúcim funkciám brány.

Preklad je tretia a najvoliteľnejšia úloha. Prichádza po preposielaní a mení zdrojovú adresu, ktorú vidí vzdialená sieť. Či ho potrebujete, závisí od toho, čo cieľová sieť prijme ako zdroj, nie od toho, že sa stroj nazýva bránou VPN.

Kto vlastní adaptér a fond

Keď hostiteľa zdieľa niekoľko produktov, štyri veci potrebujú každá jedného vlastníka: porty poslucháča, životnosť adaptéra, fond adries klientov a trasy. Adaptér je ten nepríjemný, pretože služba VPN ho môže vytvoriť dynamicky a pri odpojení zničiť. Považovať toto rozhranie za trvalo pomenovanú sieťovú kartu a písať pravidlá proti jeho názvu funguje do ďalšieho pripojenia. Použite podporovaný integračný bod produktu, namiesto toho, aby ste názov rozhrania zadrátovali.

Fond adries je druhá kolízia. Dva produkty vydávajúce prekrývajúce sa rozsahy vytvoria smerovanie, ktoré vyzerá správne a nič nedoručí. Udržujte fondy v tom istom dokumente ako trasy, aby bola zmena jedného viditeľná voči druhému.

Zachovať zdroj alebo ho prepísať

Zachovanie zdrojovej adresy klienta udržiava viditeľnosť na používateľa: protokoly, kvóty a pravidlá firewallu dokážu rozlíšiť jedného používateľa od druhého. Cenou je, že cieľová LAN potrebuje spätnú trasu k bráne a niekto ju musí udržiavať. Prepísanie zdroja pomocou NAT odstráni túto požiadavku a odstráni s ňou aj viditeľnosť. Rozhodnite sa zámerne a zapíšte, ktoré informácie prepis skrýva.

Prístup k privátnej sieti, výstup do internetu a pripojenia, ktoré sa končia na samotnej bráne, sú tri rôzne cesty. Nie všetky potrebujú rovnaké zaobchádzanie.

Opíšte tok jednou vetou

Jedna veta by mala opísať návrh: ktorých klientov táto služba prijíma, ktoré zdroje tá politika preposielania poskytuje a ako spätná cesta dokončuje tok. Ak veta potrebuje druhú vrstvu NAT, aby bola pravdivá, zvyčajne je to znak, že predchádzajúce časti neboli doriešené. Hostiteľ je aj spoločná hranica zlyhania a dôvery, takže zmena smerovania môže ovplyvniť prístup používateľov aj administráciu. Pre tú druhú si ponechajte nezávislú cestu obnovy.

Udržujte súpis rolí vedľa konfigurácie: ktorý produkt ukončuje, ktorý preposiela, ktorý prekladá a kto môže každý z nich zmeniť. Práve tento zoznam robí ďalšiu zmenu kontrolovateľnou.

Keď je veta nejasná, pridanie ďalšej vrstvy prekladu ju zriedka vyjasní. Odobranie jednej zvyčajne áno.