Када клијент за даљински приступ мора да делује као филијална капија

Преносни рачунар повезан на VPN може да стигне до седишта. Штампач и сервер датотека на истом столу не могу, јер ништа не прослеђује њихове пакете у тај тунел нити враћа одговоре. Претварање клијента у филијалну капију је одлука о рутирању и одговорности пре него одлука о конфигурацији. Назив протокола на кутији не одговара на питање да ли је та улога подржана.

Шта вам не каже ознака протокола

OpenVPN документује дизајн од локације до локације у ком повезивач прослеђује целу подмрежу, а Access Server га спроводи са улогом капије и експлицитним рутирањем. Други производ који се продаје као SSL VPN може да нуди само функције даљинског корисника, без подржаног начина да се најави мрежа иза клијента. И верзија је важна, јер функција у једном издању није обећање за друго. Читајте имплементацију коју стварно покрећете и третирајте рецепт написан за други производ као наговештај, не као дизајн.

Питање које прво треба решити јесте да ли власник VPN-а уопште подржава улогу прослеђивања. Ако не, никакво рутирање на страни клијента то не чини подржаним.

Уговор има две стране: филијала и седиште

На страни филијале, један домаћин поседује прослеђивање, филтрирање и опоравак. Потребан му је промишљен пут од сваког уређаја у филијали, а спољна VPN веза мора да остане доступна кроз основну мрежу чак и док је тунел искључен. На страни седишта, неко мора да дефинише филијалну подмрежу, прихвати идентитет капије и дозволи одређене ресурсе. Ниједна половина не ради сама.

Повратни пут је део који се прескаче. Адреса тунела за клијента не најављује подмрежу иза ње, па рутери у седишту требају руту која за тај префикс показује на VPN капију.

У рутираном дизајну концентратор прослеђује пакете за филијални префикс, а рутирање надређеног LAN-а зна како да врати одговоре. У преведеном дизајну извор који седиште види се преписује, што може да уклони потребу за једном повратном рутом, али крије која је филијална машина послала саобраћај. Тај компромис припада документу о дизајну, јер евиденције апликација и правила приступа губе идентитет по уређају када уђе превод.

Рутирано или преведено: повратни пут изаберите свесно

Изаберите рутирано када су идентитет по уређају и политика по домаћину важни и када можете да одржавате повратну руту на сваком релевантном рутеру.

Изаберите преведено када не можете да додајете руте, али можете да прихватите да седиште види једну изворну адресу. Мешани дизајни постоје и теже је о њима размишљати, зато запишите који су префикси рутирани, а који преведени. Затим проверите избор снимком на оба краја уместо да верујете стању тунела.

Корисна провера је асиметрична: затражите ресурс са уређаја у филијали, затим потврдите да одговор напушта седиште ка филијалном префиксу. traceroute -n 10.60.4.20 са домаћина у седишту показује да ли тај пут иде кроз VPN капију.

Управљајте тиме као инфраструктуром, а не као пријавом

Одлучите како се капија покреће, аутентификује, ажурира и опоравља када нико није пријављен. Обнављање акредитива, захтеви за више фактора, понашање при спавању и то ко реагује када филијала изгуби приступ постају оперативна питања. Неколико људи који деле један мрежни пут не смеју да наследе личне привилегије корисника капије, зато ауторизација ресурса, обухват евидентирања и политика отказа требају именованог власника. Дељење налога да би се избегла регистрација сваког уређаја није дизајн.

Упоредите овај распоред са подржаном капијом локације под истим захтевима пре него што се обавежете. Поновна употреба старог стони рачунара не уклања рад на одржавању или опоравку, а цена из друге руке не описује оперативни трошак.

Валидирајте предвиђене филијалне апликације, њихов повратни саобраћај и једно одбијено одредиште према одобреном плану. Успех изгледа као сопствена мрежна услуга са именованим филијалним идентитетом и експлицитном политиком, а не као прозор клијента на ком пише Повезано.