Gateway ng VPN sa Windows: tatlong tungkulin, tatlong may-ari

Tatlong function ang pinagsasama-sama tuwing may magsabing VPN server: pagtatapos ng naka-encrypt na tunnel, paglilipat ng mga packet sa pagitan ng mga network at, opsyonal, pag-rewrite ng mga address. Sa Windows, nasa magkaibang bahagi ng stack ang mga ito, kahit isang makina lang ang gumagawa ng tatlo. Bawat isa ay may sariling input at sariling paraan ng pagpalya, at bawat isa ay maaaring ibigay sa ibang produkto. Ang paghihiwalay sa kanila sa papel ang pinakamurang paraan para manatiling maintindihan ang maliit na deployment.

Ang isang madaling basahin na disenyo ay pinapangalanan ang may-ari ng bawat daloy sa halip na ilarawan ang makina bilang isang tungkulin.

Tapusin, ipasa, isalin

Hinahawakan ng RRAS ang tunnel para sa native na kaso ng Windows: pinapatotohanan nito ang user, naglalaan ng address mula sa isang pool at nagpapasya kung aling mga destinasyon ang pinapayagan. Maaaring ang ibang produktong VPN ang may-ari ng listener at virtual adapter, at hayaang ang Windows ang magpasa ng mga na-decrypt na packet. Hinihiwalay ng dokumentasyon ng Remote Access ng Microsoft ang mga tungkulin ng VPN, site-to-site at routing, at ang pag-install ng routing role ay hindi gumagawa ng pangalawang pagkakakilanlang VPN. Ang pagdaragdag ng isa pang aplikasyong VPN ay hindi rin nagbibigay ng adapter nito sa lahat ng umiiral na function ng gateway.

Ang pagsasalin ay ang pangatlo at pinaka-opsyonal na tungkulin. Dumarating ito pagkatapos ng pagpapasa at binabago ang source address na nakikita ng malayong network. Kung kailangan mo ito ay depende sa kung ano ang tatanggapin ng destinasyong network bilang source, hindi sa katotohanang tinatawag na VPN gateway ang makina.

Sino ang may-ari ng adapter at ng pool

Kapag maraming produkto ang nagbabahagi ng host, apat na bagay ang nangangailangan ng isang may-ari bawat isa: mga listening port, haba ng buhay ng adapter, pool ng address ng kliyente at mga ruta. Ang adapter ang mahirap, dahil maaaring dynamic na likhain ito ng serbisyong VPN at sirain kapag nadiskonekta. Ang pagtrato sa interface na iyon bilang permanenteng pinangalanang network card at pagsulat ng mga patakaran laban sa pangalan nito ay gumagana hanggang sa susunod na muling pagkonekta. Gamitin ang sinusuportahang integration point ng produkto sa halip na i-hard-code ang pangalan ng interface.

Ang pool ng address ang pangalawang banggaan. Dalawang produkto na namamahagi ng magkapatong na saklaw ay gumagawa ng routing na mukhang tama at walang naihahatid. Panatilihin ang mga pool sa parehong dokumento ng mga ruta, upang ang pagbabago sa isa ay makita laban sa isa.

Panatilihin ang source o i-rewrite ito

Ang pagpapanatili ng source address ng kliyente ay nagpapanatili ng visibility kada user: makikilala ng mga log, quota at patakaran ng firewall ang isang user mula sa iba. Ang halaga ay kailangan ng destinasyong LAN ng return route pabalik sa gateway, at may kailangang magpanatili nito. Ang pag-rewrite ng source gamit ang NAT ay nag-aalis ng pangangailangang iyon at inaalis din ang visibility kasama nito. Pumili nang sadya at isulat kung anong impormasyon ang itinatago ng pag-rewrite.

Ang access sa pribadong network, labasan sa internet at mga koneksyong nagtatapos sa gateway mismo ay tatlong magkaibang landas. Hindi lahat ay nangangailangan ng parehong pagtrato.

Ilarawan ang daloy sa isang pangungusap

Dapat ilarawan ng isang pangungusap ang disenyo: aling mga kliyente ang tinatanggap ng serbisyong ito, anong mga resource ang ibinibigay ng patakarang iyon sa pagpapasa at paano kinukumpleto ng return path ang daloy. Kung ang pangungusap ay nangangailangan ng pangalawang layer ng NAT upang maging totoo, kadalasan ito ay senyales na hindi pa naayos ang mga naunang piraso. Ang host ay isa ring pinagsasaluhang hangganan ng pagpalya at tiwala, kaya ang pagbabago sa routing ay maaaring makaapekto sa access ng user at sa administrasyon. Panatilihin ang isang malayang landas sa pagbawi para sa huli.

Panatilihin ang imbentaryo ng mga tungkulin sa tabi ng configuration: aling produkto ang nagtatapos, alin ang nagpapasa, alin ang nagsasalin at sino ang makakabago sa bawat isa. Ang listahang iyon ang gumagawa sa susunod na pagbabago na masusuri.

Kapag naging malabo ang pangungusap, bihirang linawin ito ng isa pang layer ng pagsasalin. Ang pag-alis ng isa ay kadalasang naglilinaw.