Windows VPN мрежни пролаз: три посла, три власника

Три функције се спајају сваки пут кад неко каже VPN сервер: завршавање шифрованог тунела, премештање пакета између мрежа и, опционо, преписивање адреса. На Windows-у оне живе у различитим деловима стека, чак и кад једна машина обавља све три. Свака има своје улазе и свој начин отказа, и свака се може предати другом производу. Раздвајање на папиру најјефтинији је начин да мало распоређивање остане разумљиво.

Читљив дизајн именује власника сваког тока уместо да машину описује као улогу.

Заврши, проследи, преведи

RRAS води тунел за изворни Windows случај: проверава корисника, додељује адресу из базена и одлучује које су дестинације дозвољене. Други VPN производ може уместо тога поседовати слушаоца и виртуелни адаптер, остављајући Windows-у прослеђивање дешифрованих пакета. Microsoft документација за Remote Access раздваја улоге VPN, локација-на-локацију и рутирања, а инсталација рутирања не ствара други VPN идентитет. Додавање још једне VPN апликације такође не предаје њен адаптер свим постојећим функцијама пролаза.

Превођење је трећи и најопционији посао. Долази после прослеђивања и мења изворну адресу коју види далека мрежа. Да ли вам је потребно зависи од тога шта ће одредишна мрежа прихватити као извор, а не од тога што се машина зове VPN пролаз.

Коме припадају адаптер и базен

Када више производа дели домаћина, четири ствари траже по једног власника: портови за слушање, животни век адаптера, базен адреса клијената и руте. Адаптер је незгодан, јер VPN услуга може да га створи динамички и уништи при искључењу. Третирање тог интерфејса као трајно именоване мрежне картице и писање правила против његовог имена ради до следећег поновног повезивања. Користите подржану интеграциону тачку производа уместо да тврдо кодирате име интерфејса.

Базен адреса је други судар. Два производа која деле преклопљене опсеге стварају рутирање које изгледа тачно и не доставља ништа. Држите базене у истом документу као руте, тако да промена у једном буде видљива према другом.

Сачувај извор или га препиши

Чување изворне адресе клијента одржава видљивост по кориснику: дневници, квоте и правила заштитног зида могу да разликују једног корисника од другог. Цена је да одредишни LAN тражи повратну руту ка пролазу и неко мора да је одржава. Преписивање извора помоћу NAT-а уклања тај захтев и уклања видљивост са њим. Изаберите намерно и запишите које информације преписивање крије.

Приступ приватној мрежи, излаз на интернет и везе које се завршавају на самом пролазу три су различита пута. Нису свима потребни исти третман.

Опиши ток у једној реченици

Једна реченица треба да опише дизајн: које клијенте ова услуга прихвата, које ресурсе та политика прослеђивања даје и како повратни пут завршава ток. Ако реченици треба други NAT слој да би била истинита, то је обично знак да претходни делови нису били решени. Домаћин је и заједничка граница отказа и поверења, па промена рутирања може утицати и на кориснички приступ и на администрацију. За последње задржите независан пут опоравка.

Држите попис улога поред конфигурације: који производ завршава, који прослеђује, који преводи и ко може да промени сваки. Та листа чини следећу промену проверљивом.

Када реченица постане нејасна, додавање још једног слоја превођења је ретко разјашњава. Уклањање једног обично је разјашњава.