Ko mora odjemalec za oddaljeni dostop delovati kot podružnična prehod

Prenosnik, povezan z VPN, lahko doseže sedež. Tiskalnik in strežnik datotek na isti mizi ne moreta, ker nič ne posreduje njunih paketov v ta tunel ali prinaša odgovorov nazaj. Spreminjanje odjemalca v podružnično prehod je odločitev o usmerjanju in odgovornosti, preden je odločitev o konfiguraciji. Ime protokola na škatli ne odgovori, ali je ta vloga podprta.

Česa vam nalepka protokola ne pove

OpenVPN dokumentira zasnovo od lokacije do lokacije, v kateri priključek posreduje celotno podomrežje, Access Server pa jo izvaja z vlogo prehoda in izrecnim usmerjanjem. Drug izdelek, tržen kot SSL VPN, lahko ponuja le funkcije oddaljenega uporabnika, brez podprtega načina za objavo omrežja za odjemalcem. Tudi različica je pomembna, ker funkcija v eni izdaji ni obljuba o drugi. Preberite izvedbo, ki jo resnično poganjate, in recept, napisan za drug izdelek, obravnavajte kot namig, ne kot zasnovo.

Vprašanje, ki ga je treba najprej rešiti, je, ali lastnik VPN sploh podpira vlogo posredovanja. Če ne, nobeno usmerjanje na strani odjemalca tega ne naredi podprtega.

Pogodba ima dve strani: podružnica in sedež

Na strani podružnice posredovanje, filtriranje in obnovitev poseduje en gostitelj. Potrebuje premišljeno pot od vsake naprave v podružnici, zunanja povezava VPN pa mora ostati dosegljiva prek osnovnega omrežja tudi, ko je tunel izklopljen. Na strani sedeža mora nekdo določiti podružnično podomrežje, sprejeti identiteto prehoda in dovoliti določene vire. Nobena polovica ne deluje sama.

Povratna pot je del, ki se izpusti. Naslov tunela za odjemalca ne objavi podomrežja za njim, zato usmerjevalniki na sedežu potrebujejo pot, ki za to predpono kaže na VPN prehod.

V usmerjeni zasnovi koncentrator posreduje pakete za podružnično predpono, usmerjanje nadrejenega LAN pa ve, kako poslati odgovore nazaj. V prevedeni zasnovi se vir, ki ga sedež vidi, prepiše, kar lahko odpravi potrebo po eni povratni poti, a skrije, kateri podružnični stroj je poslal promet. Ta kompromis sodi v zasnovni dokument, ker dnevniki aplikacij in pravila dostopa izgubijo identiteto posamezne naprave, ko vstopi prevajanje.

Usmerjeno ali prevedeno: povratno pot izberite zavestno

Izberite usmerjeno, ko sta pomembna identiteta posamezne naprave in politika za vsakega gostitelja in lahko povratno pot vzdržujete na vsakem ustreznem usmerjevalniku.

Izberite prevedeno, ko ne morete dodajati poti, a lahko sprejmete, da sedež vidi en naslov vira. Mešane zasnove obstajajo in o njih je težje razmišljati, zato zapišite, katere predpone so usmerjene in katere prevedene. Nato izbiro preverite s posnetkom na obeh koncih, namesto da bi zaupali stanju tunela.

Koristno preverjanje je asimetrično: zahtevajte vir z naprave v podružnici, nato potrdite, da odgovor zapusti sedež proti podružnični predponi. traceroute -n 10.60.4.20 z gostitelja na sedežu pokaže, ali ta pot poteka skozi VPN prehod.

Upravljajte ga kot infrastrukturo, ne kot prijavo

Odločite, kako se prehod zažene, overi, posodobi in obnovi, ko nihče ni prijavljen. Podaljšanje poverilnic, večfaktorske zahteve, vedenje med spanjem in kdo se odzove, ko podružnica izgubi dostop, vse postanejo operativna vprašanja. Več ljudi, ki si deli eno omrežno pot, ne sme podedovati osebnih pravic uporabnika prehoda, zato avtorizacija virov, obseg beleženja in politika napake potrebujejo imenovanega lastnika. Deljenje računa, da bi se izognili vpisu vsake naprave, ni zasnova.

Primerjajte to ureditev s podprtim prehodom lokacije pod enakimi zahtevami, preden se zavežete. Ponovna uporaba starega namiznega računalnika ne odpravi vzdrževanja ali obnovitve, cena iz druge roke pa ne opisuje obratovalnih stroškov.

Preverite predvidene podružnične aplikacije, njihov povratni promet in en zavrnjen cilj v skladu z odobrenim načrtom. Uspeh je videti kot lastna omrežna storitev z imenovano identiteto podružnice in izrecno politiko, ne kot okno odjemalca z napisom Povezano.