SoftEther VPN Azure: pot prek posrednika, ne odprta vrata

Vaš strežnik stoji za usmerjevalnikom, ki ga ne morete konfigurirati, zato očiten načrt preusmeritve vrat ni na voljo. VPN Azure obstaja prav za to situacijo in jo reši z obratom smeri prve povezave: strežnik se poveže navzven na posrednika, odjemalci pa dosežejo posrednika namesto strežnika. Razumevanje tega obrata pojasni, kaj storitev odpravi, in vsako omejitev, na katero boste pozneje naleteli.

Kaj se na poti spremeni

Pri običajnem poslušalcu odjemalec odpre povezavo TCP na javni naslov, ki jo vaš usmerjevalnik posreduje strežniku. Pri posredniku strežnik vzdržuje odhodno povezavo do posredniške infrastrukture, posrednik pa sprejema odjemalske povezave in njihov tovor posreduje čakajočemu strežniku. Nobena vhodna vrata se ne odprejo, statični naslov ni potreben, usmerjevalnik pa ostane nedotaknjen. Z vidika požarnega zidu je strežnik običajen odhodni odjemalec, zato ga omejujoča omrežja dovolijo.

Posrednik temu strežniku dodeli ime na svoji domeni, odjemalci pa so konfigurirani za povezovanje tja.

To ime pripada posredniški storitvi, ki ni Microsoft Azure VPN Gateway, čeprav se oba imenujeta Azure nekaj. Obravnavanje kot zamenljiva ustvari konfiguracijo, ki ne more delovati.

Kateri protokoli preživijo posrednika

Posrednik prenaša protokol SoftEther, projekt pa dokumentira SSTP kot odjemalsko možnost, kar je koristno, ker Windows vključuje odjemalca SSTP. Ne postane pa splošen nosilec za vsakega poslušalca na gostitelju: poslušalec OpenVPN, odzivnik IPsec in storitev L2TP potrebujejo vsak svojo dosegljivo končno točko in noben od njih se ne prenaša prek posrednika samo zato, ker je strežnik SoftEther povezan.

Odjemalski profili zato kažejo na ime posrednika namesto na naslov strežnika, obstoječi profil, zgrajen za neposredno povezavo, pa ne bo deloval nespremenjen. Preden načrtujete okoli protokola, ki ga posrednik ne prenaša, preverite seznam podprtih odjemalcev za različico, ki jo poganjate.

Česa posrednik ne naredi za vas

Posrednik je prenos. Ne ustvarja uporabnikov, navideznih zvezdišč, pravil dostopa ali poti in ne ve ničesar o zasebnih omrežjih za vašim strežnikom. Če morajo oddaljeni odjemalci doseči podomrežje LAN, strežnik še vedno potrebuje konfiguracijo mostu ali usmerjanja, povratno pot in pravilo požarnega zidu, ki to omogočajo. Prekrivajoči se naslovni načrti na obeh koncih so prav tako nevidni za posrednika in ostajajo vaš problem za rešitev.

Podprte varnostne nastavitve izbirate tudi sami. Dokumentacija projekta vključuje primere starejših platform, kopiranje zastarelih nastavitev šifriranja ali potrdil s starega posnetka zaslona pa je dober način, da zgradite tunel, ki ga nihče ne more revidirati. Uporabite aktualna navodila za različico, ki jo poganjate.

Preverjanje potrdil in preverjanje pristnosti uporabnikov ostaneta odgovornost strežnika, posrednik pa nikoli ne nadomesti nobenega od njiju.

Upravljajte ga kot odvisnost

Razpoložljivost zdaj vključuje tretjo stranko. Ko posrednik ni dosegljiv, se odjemalci ne morejo povezati ne glede na to, kako zdrav je vaš strežnik, in napaka je od zunaj videti kot težava odjemalca. Spremljajte pot prek posrednika ločeno od zdravja strežnika in imejte dokumentiran rezervni načrt, kot je neposredni poslušalec na drugem naslovu, za dan, ko bo to pomembno.

Zakasnitev sledi geografiji posrednika, ne bližini vaših uporabnikov, kar je vredno izmeriti, preden obljubite interaktivno delovanje prek njega.

Preverite identiteto strežnika in nato resnično aplikacijsko pot, ne le uspešnega pasu povezave, ter preverite, ali je vir, ki ga potrebujete, dosegljiv prek naslovne družine, ki jo prenaša posrednik. Zapišite ime posrednika, uporabljeni protokol in rezervni načrt, ker ta tri dejstva odgovorijo na večino prihodnjih vprašanj o tej povezavi.