Fjärråtkomst eller plats-till-plats-VPN: vilket passar?

En anställd på resa och ett filialkontor behöver olika tunnlar, och fel val ger en design som fungerar i labbet och fallerar första måndagen. Fjärråtkomst kopplar en enhet till en gateway. Plats-till-plats kopplar samman två gateways som representerar nätverk. Checklistan nedan avgör vilket av dem kravet faktiskt beskriver.

Vem ringer upp, och vad står bakom uppringaren

Vid fjärråtkomst upprättar programvara på bärbara datorn eller telefonen tunneln, och gatewayen autentiserar en användare, en enhet eller båda innan den tilldelar en adress och rutter. Vid plats-till-plats upprättar routrar, brandväggar eller molngateways anslutningen, och enheterna bakom dem använder vanlig routing i stället för att köra en klient. Den skillnaden avgör vem som äger tunnelns drifttid: den anställdas enhet i det första fallet, en hanterad apparat i det andra. Den avgör också om autentiseringen beskriver en person eller ett nätverk.

Stanna här om kravet är att varje maskin på ett kontor ska nå ett annat kontor utan konfiguration per enhet. Det är plats-till-plats, och en hög fjärråtkomstinloggningar är en dålig ersättning.

Adressering och returvägen

Planera åtskilda lokala och avlägsna intervall. Två platser kan båda använda samma privata subnät, och designen behöver då översättning eller omnumrering innan routingen blir entydig. En hemmarouter med samma intervall som huvudkontoret skapar samma problem för en fjärranställd. Överlapp är tillräckligt vanligt för att kontrollen av det hör till det första samtalet.

Returvägen är lika viktig som den utgående. En server kan ta emot en begäran och ändå sakna väg tillbaka till klientnätet.

Dokumentera vilken router som känner till fjärrprefixet, särskilt med molnnätverk och flera gateways. En grön tunnelikon kan inte svara på om ett mål har en fungerande returväg, och inte heller en ping i en riktning. Vid fjärråtkomst äger gatewayen vanligtvis poolrutten; vid plats-till-plats måste varje mellanliggande router som bär prefixet hålla med. Översättning kan dölja en saknad rutt tills en applikation som bäddar in adresser går sönder.

Internetutgången är ett separat beslut

Privat nåbarhet kräver inte att tunneln transporterar offentligt surfande. Huruvida vanlig webbtrafik går ut via gatewayen är ett andra beslut, fattat per design och registrerat i klientprofilen eller platskonfigurationen.

Full tunnel och delad tunnel är svar på den frågan, inte på frågan om fjärråtkomst kontra plats-till-plats. Interna namn behöver lämplig DNS i båda designerna, eftersom en offentlig resolver inte har något svar för ett privat kontorsnamn. Att skicka ut en resolver och att skicka ut en standardrutt är besläktade inställningar, och att ändra den ena utan den andra ger fel som ser ut som DNS-problem.

Använd topologin för att ringa in felet

En roaming bärbar dator som tappar åtkomst pekar på klienten, kontot eller det lokala nätverket. Ett helt filialkontor som tappar åtkomst pekar på delade vägar och gateways.

Kontrollera först att tunneln upprättas, sedan rutter, sedan tillåten trafik, sedan namnmatchning, sedan inloggning i applikationen, och stanna vid det första steget som fallerar. ip route get 10.60.8.15 svarar på routingfrågan innan du läser en enda applikationslogg. Krypteringsinställningar åtgärdar inte ett behörighetsfel för filutdelning, och en fungerande ping bevisar inte att en applikation är auktoriserad. En fast ordning förhindrar de slumpmässiga konfigurationsändringar som gör ett fel till tre.

Håll slutligen isär definitionerna när du läser leverantörsmaterial: en kommersiell server för internetutgång är en annan tjänst än ett företags privata gateway och ger ingen åtkomst till det företagets nätverk.