Uzaktan Erişim İstemcisi Şube Ağ Geçidi Olarak Görev Yapacaksa

Bir VPN'e bağlı dizüstü bilgisayar genel merkeze erişebilir. Aynı masadaki yazıcı ve dosya sunucusu erişemez, çünkü paketlerini o tünele ileten ya da yanıtları geri getiren hiçbir şey yoktur. İstemciyi şube ağ geçidine dönüştürmek, yapılandırma kararından önce bir yönlendirme ve sahiplik kararıdır. Kutudaki protokol adı, bu rolün desteklenip desteklenmediğini yanıtlamaz.

Protokol etiketinin size anlatmadığı şey

OpenVPN tam bir alt ağı ileten bir bağlayıcıyla site-to-site tasarımını belgeler ve Access Server bunu ağ geçidi rolü ve açık yönlendirme ile uygular. SSL VPN olarak pazarlanan farklı bir ürün yalnızca uzak kullanıcı işlevlerini sunabilir ve istemcinin arkasındaki bir ağı duyurmanın desteklenen bir yolu olmayabilir. Sürüm de önemlidir, çünkü bir sürümde bulunan bir özellik diğeri için vaat değildir. Gerçekten çalıştırdığınız uygulamayı okuyun ve farklı bir ürün için yazılmış bir tarifi tasarım değil, yalnızca bir ipucu olarak görün.

Önce çözülmesi gereken soru, VPN sahibinin iletim rolünü destekleyip desteklemediğidir. Desteklemiyorsa, istemci tarafında ne kadar yönlendirme yapılırsa yapılsın bu rol desteklenmiş olmaz.

Sözleşmenin iki tarafı var: şube ve genel merkez

Şube tarafında bir ana makine iletimi, filtrelemeyi ve kurtarmayı sahiplenir. Her şube cihazından bilinçli bir yol gerektirir ve dış VPN bağlantısı tünel kapalıyken bile alttaki ağ üzerinden erişilebilir kalmalıdır. Genel merkez tarafında birinin şube alt ağını tanımlaması, ağ geçidinin kimliğini kabul etmesi ve belirli kaynaklara izin vermesi gerekir. Hiçbir yarı tek başına çalışmaz.

Atlanan kısım dönüş yoludur. İstemcinin tünel adresi arkasındaki alt ağı duyurmaz, bu yüzden genel merkez yönlendiricilerinin bu önek için VPN ağ geçidini işaret eden bir rotaya ihtiyacı vardır.

Yönlendirilmiş tasarımda konsantratör şube öneki için paketleri iletir ve yukarı akış LAN yönlendirmesi yanıtları geri göndermeyi bilir. Çevrilmiş tasarımda genel merkezin gördüğü kaynak adresi yeniden yazılır; bu, bir dönüş rotası ihtiyacını ortadan kaldırabilirken trafiği hangi şube makinesinin gönderdiğini gizler. Bu ödünleşim tasarım belgesinde yer almalıdır, çünkü çeviri devreye girdiğinde uygulama günlükleri ve erişim kuralları cihaz başına kimliği kaybeder.

Yönlendirilmiş ya da çevrilmiş: dönüş yolunu bilinçli seçin

Cihaz başına kimlik ve ana makine başına ilke önemliyse ve dönüş rotasını ilgili her yönlendiricide sürdürebiliyorsanız yönlendirilmiş tasarımı seçin.

Rota ekleyemiyorsanız ancak genel merkezin tek bir kaynak adresi görmesini kabul edebiliyorsanız çevrilmiş tasarımı seçin. Karma tasarımlar vardır ve akıl yürütmesi daha zordur, bu yüzden hangi öneklerin yönlendirildiğini ve hangilerinin çevrildiğini yazın. Ardından tünel durumuna güvenmek yerine seçimi her iki uçta bir yakalama ile doğrulayın.

Yararlı bir kontrol asimetriktir: bir şube cihazından kaynak isteyin, ardından yanıtın genel merkezden şube önekine doğru çıktığını doğrulayın. Bir genel merkez ana makinesinden traceroute -n 10.60.4.20, o yolun VPN ağ geçidinden geçip geçmediğini gösterir.

Bunu bir oturum açma değil, altyapı gibi işletin

Ağ geçidinin kimse oturum açmamışken nasıl başlayacağına, kimlik doğrulayacağına, güncelleneceğine ve kurtarılacağına karar verin. Kimlik bilgisi yenileme, çok faktörlü istemler, uyku davranışı ve şube erişimi kaybettiğinde kimin yanıt vereceği operasyonel sorulara dönüşür. Tek bir ağ yolunu paylaşan birkaç kişi, ağ geçidi kullanıcısının kişisel ayrıcalıklarını devralmamalıdır, bu yüzden kaynak yetkilendirmesi, günlük kapsamı ve hata ilkesinin adı belirli bir sahibi olmalıdır. Cihaz başına kayıttan kaçınmak için hesap paylaşmak bir tasarım değildir.

Düzenlemeyi desteklenen bir site ağ geçidi ile aynı gereksinimler altında karşılaştırın. Eski bir masaüstünü yeniden kullanmak bakım veya kurtarma işini ortadan kaldırmaz ve ikinci el fiyat işletme maliyetini anlatmaz.

Amaçlanan şube uygulamalarını, dönüş trafiklerini ve onaylanmış bir plan kapsamında bir reddedilen hedefi doğrulayın. Başarı, adı belirli bir şube kimliği ve açık bir ilkesi olan sahiplenilmiş bir ağ hizmetine benzer, Connected yazan bir istemci penceresine değil.