Remote-access o site-to-site na VPN: alin ang bagay?

Ang isang empleyadong naglalakbay at ang isang sangay na opisina ay nangangailangan ng magkaibang tunnel, at ang maling pagpili ay gumagawa ng disenyong gumagana sa laboratoryo at nabibigo sa unang Lunes. Ang remote access ay nag-uugnay ng isang device sa isang gateway. Ang site-to-site ay nag-uugnay ng dalawang gateway na kumakatawan sa mga network. Ang checklist sa ibaba ang magpapasya kung alin sa dalawa ang tunay na inilalarawan ng pangangailangan.

Sino ang nag-uumpisa, at ano ang nasa likod niya

Sa remote access, ang software sa laptop o telepono ang nagtatayo ng tunnel, at ang gateway ay nagpapatunay ng user, device, o pareho bago magbigay ng address at mga ruta. Sa site-to-site, ang mga router, firewall, o cloud gateway ang nagtatayo ng koneksyon, at ang mga device sa likod nila ay gumagamit ng ordinaryong routing sa halip na magpatakbo ng client. Ang pagkakaibang ito ang nagpapasya kung sino ang may pananagutan sa uptime ng tunnel: ang device ng empleyado sa unang kaso, isang pinamamahalaang appliance sa pangalawa. Nagpapasya rin ito kung ang pagpapatunay ay tumutukoy sa isang tao o sa isang network.

Huminto dito kung ang pangangailangan ay maabot ng bawat makina sa isang opisina ang isa pang opisina nang walang setup sa bawat device. Iyon ay site-to-site, at ang tambak ng remote-access login ay mahinang kapalit.

Pag-address at ang rutang pabalik

Magplano ng magkaibang lokal at malayong saklaw. Maaaring gamitin ng dalawang site ang parehong pribadong subnet, at ang disenyo ay mangangailangan ng pagsasalin o muling pagbilang bago maging malinaw ang routing. Ang router sa bahay na gumagamit ng parehong saklaw ng punong tanggapan ay lumilikha ng parehong problema para sa isang malayong manggagawa. Ang pag-overlap ay karaniwan na kaya ang pagsuri nito ay dapat nasa unang usapan.

Ang ruta pabalik ay kasinghalaga ng rutang palabas. Maaaring tumanggap ng kahilingan ang isang server at wala pa ring ruta pabalik sa network ng client.

Itala kung aling router ang nakakaalam ng malayong prefix, lalo na sa mga cloud network at maraming gateway. Hindi masasagot ng berdeng icon ng tunnel kung may gumaganang ruta pabalik ang isang destinasyon, at hindi rin kaya ng ping sa isang direksyon. Sa remote access, karaniwang pagmamay-ari ng gateway ang ruta ng pool; sa site-to-site, dapat sumang-ayon ang bawat intermediate router na may dala ng prefix. Maaaring itago ng pagsasalin ang nawawalang ruta hanggang sa masira ang isang application na may nakapaloob na address.

Ang labasan sa internet ay hiwalay na desisyon

Ang pribadong pag-abot ay hindi nangangailangan na dalhin ng tunnel ang pampublikong pag-browse. Kung ang ordinaryong web traffic ay lumalabas sa gateway ay pangalawang desisyon, ginagawa ayon sa disenyo at itinatala sa profile ng client o sa configuration ng site.

Ang full-tunnel at split-tunnel ay mga sagot sa tanong na iyon, hindi sa tanong ng remote-access laban sa site-to-site. Ang mga panloob na pangalan ay nangangailangan ng angkop na DNS sa parehong disenyo, dahil walang sagot ang pampublikong resolver para sa pribadong hostname ng opisina. Ang pagtulak ng resolver at pagtulak ng default na ruta ay magkaugnay na setting, at ang pagbabago ng isa nang wala ang isa ay gumagawa ng mga pagkabigo na mukhang problema sa DNS.

Gamitin ang topology upang paliitin ang depekto

Isang umiikot na laptop na nawawalan ng access ay tumuturo sa client, sa account nito, o sa lokal na network nito. Isang buong sangay na nawawalan ng access ay tumuturo sa mga pinagsasaluhang ruta at gateway.

Suriin muna ang pagtatayo ng tunnel, pagkatapos ang mga ruta, pagkatapos ang pinapayagang traffic, pagkatapos ang paglutas ng pangalan, pagkatapos ang pag-login sa application, at huminto sa unang hakbang na nabibigo. Sinasagot ng ip route get 10.60.8.15 ang tanong sa routing bago ka magbasa ng kahit isang application log. Hindi inaayos ng mga setting ng encryption ang error sa pahintulot ng file share, at ang gumaganang ping ay hindi nagpapatunay na awtorisado ang isang application. Ang pagpapanatiling maayos ng pagkakasunod-sunod ay pumipigil sa mga random na pagbabago ng configuration na gumagawa ng isang depekto na maging tatlo.

Sa huli, panatilihing malinaw ang mga kahulugan kapag nagbabasa ng materyal ng vendor: ang komersyal na server para sa labasan sa internet ay ibang serbisyo sa pribadong gateway ng isang kumpanya at hindi ito nagbibigay ng access sa network ng kumpanyang iyon.