Je, mteja wa VPN anayezunguka anaweza kupangisha huduma kwa ofisi?

Laptop yako ya ofisi inaweza kupiga simu kutoka nyumbani na bado kutoa kitu ambacho ofisi inahitaji, lakini tu wakati maamuzi matatu tofauti yanapatana. Handaki ni usafiri, anwani ya ndani ndio lengo, na sera huamua nani anaweza kubisha. Kuchukua mojawapo kati ya haya kama jibu kamili huzaa malalamiko yanayojulikana: mwenyeji hujibu ping lakini programu haiunganishi kamwe. Majukumu hayafanani, na tofauti iko mahali hasa ambapo kazi ya usanifu inakaa.

Mwelekeo wa kuingia hausemi chochote kuhusu mwelekeo wa huduma

Mteja anapoanzisha handaki, hufungua njia ambayo pande zote mbili zinaweza kutumia mara tu inapokuwepo. Ikiwa muunganisho mpya unaweza kuingia kutoka kitovu kuelekea mteja huyo ni swali la sera ya lango, si sifa ya aliyeingia. Kwa mfano, kwenye kitovu cha OpenVPN kilichoelekezwa, seva inahitaji njia kuelekea anwani ya ndani ya mteja na uwasilishaji unaoruhusu uhusiano wa rika.

Fikiria mfumo wa orodha unaouliza wakala kwenye laptop zinazozunguka, au msanidi anayehitaji API ya majaribio kutoka kituo cha kazi nyumbani. Wote wanataka upande wa ofisi uanze mazungumzo, jambo ambalo ni kinyume cha mtindo wa kawaida wa mteja-kwa-seva.

Bidhaa za ufikiaji wa mbali zinazopangishwa hutofautiana hapa, na tofauti hiyo si hitilafu. VPN zingine za huduma zinazosimamiwa huzuia kwa makusudi miunganisho isiyoombwa kuelekea wateja walioounganishwa kwa sababu mtindo wao ni mteja-kwa-rasilimali, si rasilimali-kwa-mteja. Soma usanifu ulioandikwa wa bidhaa kabla ya kuahidi mwenzako kwamba laptop yake inaweza kutumika kama seva.

Fuata njia ya kurudi kabla ya kufungua bandari

Njia ina sehemu tatu: njia kwenye lango inayoelekeza kwenye anwani ya ndani ya mteja, sera inayoruhusu mpigaji simu mahususi, na huduma inayosikiliza kwenye lengo. Kila sehemu hushindwa kwa namna tofauti, ndiyo sababu «VPN imewashwa» haisemi karibu chochote.

Habari njema ni kwamba njia ya ndani haihitaji uelekezaji wa bandari kwenye router ya nyumbani ya mteja. Hiyo ndiyo maana ya kuchapisha huduma kwenye anwani ya handaki badala ya anwani ya WAN ya nyumbani, ambapo mfiduo na kanuni za NAT zingekuwa tofauti kabisa. Router ya nyumbani inaweza pia kukataa kufanya hairpin kwa muunganisho unaotoka ofisini, kwa hivyo njia ya WAN hushindwa kwa sababu zisizohusiana na VPN yako. Kuweka trafiki ndani ya handaki huepuka matatizo yote mawili kwa wakati mmoja.

Angalia pia upande wa lengo. Huduma iliyofungwa tu kwa 127.0.0.1 haiwezi kukubali muunganisho unaofika kwenye kiolesura cha handaki, hata njia za lango ziwe sahihi kiasi gani. Kanuni ya firewall ya mwenyeji inayoruhusu bandari kutoka subnet ya ndani tu pia itatupa trafiki ya ofisi, na kanuni hiyo haitegemei sera ya VPN iliyo juu yake.

Majina na anwani ni maamuzi ya usanifu

Anwani ndani ya handaki si jina kiotomatiki. Rekodi ya DNS ya kibinafsi unayodhibiti ni wazi zaidi kuliko kutumaini kwamba itifaki ya ugunduzi itavuka handaki, kwa sababu utatuzi wa majina kwa multicast ya kiungo cha ndani hubaki kwenye sehemu ya ndani na hauwezi kuwa DNS kati ya subnet.

Utulivu wa anwani ni muhimu vile vile. Ikiwa wateja wa VPN wanachukua kutoka bwawa lenye ukodishaji mfupi, anwani ya ndani ya laptop hubadilika kati ya vipindi na kila alama, wigo wa firewall na ukaguzi wa ufuatiliaji uliojengwa juu yake huvunjika kimya. Tumia uhifadhi au njia iliyoandikwa ya kusasisha kwa nguvu.

Kubaliana jina na yeyote anayemiliki utambulisho wa VPN, ili rekodi, ugawaji wa anwani na sera ya ufikiaji vibadilike pamoja badala ya tikiti tatu tofauti.

Jaribu huduma, si uanachama

Kutoka lengo, thibitisha kinachosikiliza na kwenye anwani gani, kisha thibitisha mtazamo wa lango kuhusu njia ya kurudi:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Sasa jaribu kutoka upande wa ofisi kwa ombi halisi badala ya mwangwi. curl iliyofanikiwa dhidi ya huduma inathibitisha njia, sera na msikilizaji kwa wakati mmoja, wakati ping iliyofanikiwa inathibitisha tu kwamba ICMP inaruhusiwa. Ikiwa ombi linashindwa, rudi nyuma kupitia sehemu tatu badala ya kupanua firewall na kutumaini.

Upatikanaji ni sehemu ya mazungumzo hayo hayo. Laptop hulala, huzunguka kati ya mitandao na hukatika mwisho wa siku. Huduma ambayo lazima ijibu saa yoyote inapaswa kuwa kwenye mwenyeji unaowaka kila wakati, wakati huduma ya juhudi bora inaweza kubaki kwa mteja ikiwa kikomo hicho kimeandikwa.

Chapisha rasilimali kwa makusudi, ikiwa na jina, orodha ya wapigaji simu walioruhusiwa na mmiliki, na kifaa cha mbali kinakuwa huduma inayosaidiwa badala ya seva ya bahati mbaya.