Коли клієнт віддаленого доступу має працювати як шлюз філії

Ноутбук, підключений до VPN, може дістатися головного офісу. Принтер і файловий сервер на тому ж столі не можуть, бо ніщо не передає їхні пакети в тунель і не повертає відповіді. Перетворення клієнта на шлюз філії — це рішення про маршрутизацію та відповідальність, перш ніж рішення про конфігурацію. Назва протоколу на коробці не відповідає, чи підтримується ця роль.

Чого не розповідає етикетка протоколу

OpenVPN документує проєкт типу «сайт-сайт», у якому коннектор передає цілу підмережу, а Access Server реалізує це роллю шлюзу та явною маршрутизацією. Інший продукт, що продається як SSL VPN, може надавати лише функції для віддалених користувачів, без підтримуваного способу оголосити мережу за клієнтом. Версія також має значення, адже функція в одному випуску не є обіцянкою для іншого. Читайте реалізацію, яку ви справді запускаєте, і сприймайте рецепт, написаний для іншого продукту, як підказку, а не як проєкт.

Спершу треба з'ясувати, чи власник VPN взагалі підтримує роль пересилання. Якщо ні, жодна кількість маршрутизації на боці клієнта не зробить її підтримуваною.

Договір має дві сторони: філія та головний офіс

На боці філії один хост відповідає за пересилання, фільтрацію та відновлення. Йому потрібен навмисний шлях від кожного пристрою філії, а зовнішнє з'єднання VPN має залишатися доступним через базову мережу навіть тоді, коли тунель не працює. На боці головного офісу хтось має визначити підмережу філії, прийняти ідентичність шлюзу та дозволити конкретні ресурси. Жодна половина не працює сама.

Пропускають саме зворотний шлях. Тунельна адреса клієнта не оголошує підмережу за ним, тому маршрутизаторам головного офісу потрібен маршрут, що вказує на VPN-шлюз для цього префікса.

У маршрутизованому проєкті концентратор пересилає пакети для префікса філії, і маршрутизація вгорі за течією в LAN знає, як надіслати відповіді назад. У трансльованому проєкті джерело, яке бачить головний офіс, переписується, що може прибрати потребу в одному зворотному маршруті, але приховує, яка машина філії надіслала трафік. Цей компроміс має бути в документі проєкту, бо журнали застосунків і правила доступу втрачають ідентичність окремого пристрою, щойно з'являється трансляція.

Маршрутизовано чи трансльовано: обирайте зворотний шлях свідомо

Обирайте маршрутизований варіант, коли важливі ідентичність кожного пристрою та політика для кожного хоста і ви можете підтримувати зворотний маршрут на кожному відповідному маршрутизаторі.

Обирайте трансльований варіант, коли не можете додати маршрути, але приймаєте, що головний офіс бачить одну адресу джерела. Змішані проєкти існують і про них важче міркувати, тож запишіть, які префікси маршрутизовані, а які трансльовані. Потім перевірте вибір захопленням на обох кінцях, а не довірою до стану тунелю.

Корисна перевірка асиметрична: запитайте ресурс із пристрою філії, а потім підтвердьте, що відповідь виходить із головного офісу в напрямку префікса філії. Команда traceroute -n 10.60.4.20 із хоста головного офісу покаже, чи проходить цей шлях через VPN-шлюз.

Керуйте це як інфраструктурою, а не як входом у систему

Вирішіть, як шлюз запускається, автентифікується, оновлюється та відновлюється, коли ніхто не ввійшов. Поновлення облікових даних, запити багатофакторної автентифікації, поведінка сну та те, хто реагує, коли філія втрачає доступ, стають операційними питаннями. Кілька людей, що ділять один мережевий шлях, не повинні успадковувати особисті привілеї користувача шлюзу, тому авторизація ресурсів, обсяг журналювання та політика відмов потребують названого власника. Спільний обліковий запис, щоб уникнути реєстрації кожного пристрою, — це не проєкт.

Порівняйте цю схему з підтримуваним шлюзом сайту за тих самих вимог, перш ніж зобов'язуватися. Повторне використання старого настільного комп'ютера не прибирає роботи з обслуговування чи відновлення, а ціна вживаного пристрою не описує вартість експлуатації.

Перевірте заплановані застосунки філії, їхній зворотний трафік і одну заборонену ціль за затвердженим планом. Успіх виглядає як власна мережева послуга з названою ідентичністю філії та явною політикою, а не вікно клієнта з написом Connected.