Prehod VPN v sistemu Windows: tri opravila, trije lastniki

Tri funkcije se združijo vsakič, ko kdo reče strežnik VPN: zaključevanje šifriranega tunela, premikanje paketov med omrežji in neobvezno prepisovanje naslovov. V sistemu Windows živijo v različnih delih sklada, tudi ko en stroj opravlja vse tri. Vsaka ima svoje vhode in svoj način odpovedi, in vsako je mogoče zaupati drugemu izdelku. Če jih ločimo na papirju, je to najcenejši način, da majhna namestitev ostane razumljiva.

Berljiva zasnova poimenuje lastnika vsakega toka, namesto da bi stroj opisala kot vlogo.

Zaključi, posreduj, prevedi

RRAS obravnava tunel v izvornem primeru Windows: preveri uporabnika, dodeli naslov iz sklopa in odloči, kateri cilji so dovoljeni. Drug izdelek VPN lahko namesto tega ima poslušalca in navidezni vmesnik, Windowsu pa prepusti posredovanje dešifriranih paketov. Microsoftova dokumentacija Remote Access ločuje vloge VPN, lokacija-lokacija in usmerjanje, namestitev vloge usmerjanja pa ne ustvari druge identitete VPN. Dodajanje druge aplikacije VPN tudi ne preda njenega vmesnika vsem obstoječim funkcijam prehoda.

Prevajanje je tretje in najbolj neobvezno opravilo. Pride po posredovanju in spremeni naslov vira, ki ga vidi oddaljeno omrežje. Ali ga potrebujete, je odvisno od tega, kaj bo ciljno omrežje sprejelo kot vir, ne od tega, da se stroj imenuje prehod VPN.

Kdo je lastnik vmesnika in sklopa

Ko si več izdelkov deli gostitelja, štiri stvari potrebujejo vsaka enega lastnika: vrata poslušanja, življenjsko dobo vmesnika, sklop naslovov odjemalcev in poti. Vmesnik je nerodni, ker ga lahko storitev VPN ustvari dinamično in uniči ob odklopu. Obravnavanje tega vmesnika kot trajno poimenovane omrežne kartice in pisanje pravil proti njegovemu imenu deluje do naslednje ponovne povezave. Uporabite podprto integracijsko točko izdelka, namesto da bi ime vmesnika trdo zakodirali.

Sklop naslovov je drugi trk. Dva izdelka, ki razdeljujeta prekrivajoča se območja, ustvarita usmerjanje, ki je videti pravilno in ne dostavi ničesar. Sklope hranite v istem dokumentu kot poti, da je sprememba pri enem vidna glede na drugega.

Ohranite vir ali ga prepišite

Ohranjanje naslova vira odjemalca ohranja vidnost na uporabnika: dnevniki, kvote in pravila požarnega zidu lahko ločijo enega uporabnika od drugega. Cena je, da ciljni LAN potrebuje povratno pot do prehoda in nekdo jo mora vzdrževati. Prepis vira z NAT odstrani to zahtevo in z njo odstrani vidnost. Odločite se zavestno in zapišite, katere informacije prepis skriva.

Dostop do zasebnega omrežja, izhod v internet in povezave, ki se končajo na samem prehodu, so tri različne poti. Vse ne potrebujejo enake obravnave.

Opišite tok v enem stavku

En stavek bi moral opisati zasnovo: katere odjemalce ta storitev sprejme, katere vire ta politika posredovanja odobri in kako povratna pot dokonča tok. Če stavek potrebuje drugo plast NAT, da bi bil resničen, je to običajno znak, da prejšnji deli niso bili urejeni. Gostitelj je tudi skupna meja odpovedi in zaupanja, zato lahko sprememba usmerjanja vpliva na dostop uporabnikov in na upravljanje. Za slednje ohranite neodvisno pot obnovitve.

Ob konfiguraciji vodite popis vlog: kateri izdelek zaključi, kateri posreduje, kateri prevede in kdo lahko vsakega spremeni. Ta seznam naredi naslednjo spremembo pregledno.

Ko stavek postane nejasen, ga dodajanje druge plasti prevajanja redko razjasni. Odstranitev ene ga običajno.