Masofaviy kirish mijozi filial shlyuzi sifatida ishlashi kerak bo’lganda

VPN ga ulangan noutbuk bosh ofisga yeta oladi. Xuddi shu stoldagi printer va fayl serveri yeta olmaydi, chunki ularning paketlarini o’sha tunnelga uzatadigan yoki javoblarni qaytaradigan hech narsa yo’q. Mijozni filial shlyuziga aylantirish — konfiguratsiyadan oldin marshrutlash va mas’uliyat qarori. Qutidagi protokol nomi bu rol qo’llab-quvvatlanadimi-yo’qmi degan savolga javob bermaydi.

Protokol yorlig’i sizga nimani aytmaydi

OpenVPN sayt-sayt loyihasini hujjatlashtiradi, unda konnektor butun quyi tarmoqni uzatadi, Access Server esa buni shlyuz roli va aniq marshrutlash bilan amalga oshiradi. SSL VPN sifatida sotiladigan boshqa mahsulot faqat masofaviy foydalanuvchi funksiyalarini taqdim etishi mumkin va mijoz ortidagi tarmoqni e’lon qilishning qo’llab-quvvatlanadigan usuli bo’lmasligi mumkin. Versiya ham muhim, chunki bir relizdagi xususiyat boshqasi uchun va’da emas. Haqiqatda ishlatayotgan implementatsiyani o’qing va boshqa mahsulot uchun yozilgan retseptni loyiha emas, balki ishora deb biling.

Birinchi hal qilinadigan savol — VPN egasi uzatish rolini umuman qo’llab-quvvatlaydimi. Agar yo’q bo’lsa, mijoz tomonidagi qancha marshrutlash ham uni qo’llab-quvvatlanadigan qilmaydi.

Shartnomaning ikki tomoni bor: filial va bosh ofis

Filial tomonida bitta xost uzatish, filtrlash va tiklashni o’z zimmasiga oladi. Unga filialdagi har bir qurilmadan ataylab yaratilgan yo’l kerak, tashqi VPN ulanishi esa tunnel ishlamay turganda ham asosiy tarmoq orqali yetib borish imkoniyatini saqlashi kerak. Bosh ofis tomonida kimdir filial quyi tarmog’ini belgilashi, shlyuzning identifikatsiyasini qabul qilishi va aniq resurslarga ruxsat berishi kerak. Hech bir yarim yolg’iz ishlamaydi.

O’tkazib yuboriladigan qism — qaytish yo’li. Mijozning tunnel manzili uning ortidagi quyi tarmoqni e’lon qilmaydi, shuning uchun bosh ofis routerlariga bu prefiks uchun VPN shlyuziga ishora qiluvchi marshrut kerak.

Marshrutlangan loyihada konsentrator filial prefiksi uchun paketlarni uzatadi va yuqori oqimdagi LAN marshrutlash javoblarni qanday qaytarishni biladi. Tarjima qilingan loyihada bosh ofis ko’radigan manba qayta yoziladi, bu bitta qaytish marshruti ehtiyojini olib tashlashi mumkin, lekin qaysi filial mashinasi trafik yuborganini yashiradi. Bu almashinuv loyiha hujjatida bo’lishi kerak, chunki tarjima ishga tushgach ilova jurnallari va kirish qoidalari qurilma bo’yicha identifikatsiyani yo’qotadi.

Marshrutlangan yoki tarjima qilingan: qaytish yo’lini ataylab tanlang

Qurilma bo’yicha identifikatsiya va xost bo’yicha siyosat muhim bo’lsa hamda qaytish marshrutini har bir tegishli routerda saqlab tura olsangiz, marshrutlangan variantni tanlang.

Marshrut qo’sha olmasangiz, lekin bosh ofis bitta manba manzilini ko’rishini qabul qilsangiz, tarjima qilingan variantni tanlang. Aralash loyihalar mavjud va ular ustida fikr yuritish qiyinroq, shuning uchun qaysi prefikslar marshrutlangan va qaysilari tarjima qilinganini yozib qo’ying. So’ng tunnel holatiga ishonish o’rniga tanlovni ikki uchida ushlash orqali tekshiring.

Foydali tekshiruv assimetrik: filial qurilmasidan resurs so’rang, so’ng javob bosh ofisdan filial prefiksi tomon chiqishini tasdiqlang. Bosh ofis xostidan traceroute -n 10.60.4.20 o’sha yo’l VPN shlyuzidan o’tishini ko’rsatadi.

Buni login emas, infratuzilma kabi boshqaring

Shlyuz hech kim tizimga kirmagan holatda qanday ishga tushishi, autentifikatsiyadan o’tishi, yangilanishi va tiklanishini hal qiling. Hisob ma’lumotlarini yangilash, ko’p faktorli so’rovlar, uyqu xatti-harakati va filial kirishni yo’qotganda kim javob berishi — bularning barchasi operatsion savollarga aylanadi. Bitta tarmoq yo’lini bo’lishadigan bir necha kishi shlyuz foydalanuvchisining shaxsiy imtiyozlarini meros olmasligi kerak, shuning uchun resurs avtorizatsiyasi, jurnal qamrovi va nosozlik siyosati nomlangan egaga muhtoj. Har bir qurilmani ro’yxatdan o’tkazishdan qochish uchun hisobni bo’lishish loyiha emas.

Bu tartibni qo’llab-quvvatlanadigan sayt shlyuzi bilan bir xil talablar ostida, majburiyat olishdan oldin solishtiring. Eski ish stolini qayta ishlatish texnik xizmat yoki tiklash ishini olib tashlamaydi, ikkinchi qo’l narxi esa ekspluatatsiya xarajatini tasvirlamaydi.

Rejalashtirilgan filial ilovalarini, ularning qaytish trafigini va bitta rad etilgan manzilni tasdiqlangan reja ostida tekshiring. Muvaffaqiyat egasi bor tarmoq xizmatiga o’xshaydi: filial identifikatsiyasi nomlangan va siyosati aniq, Connected deb yozgan mijoz oynasiga emas.