Roaming VPN mijozi ofis uchun xizmatni xosting qila oladimi?

Ofis noutbuki uydan ulanib, ofisga kerak bo'lgan narsani taqdim eta oladi, lekin faqat uchta alohida qaror bir vaqtda to'g'ri kelsa. Tunnel — transport, ichki manzil — manzil, siyosat esa kim taqillatishi mumkinligini hal qiladi. Ulardan birini to'liq javob deb qabul qilish tanish shikoyatni keltiradi: xost ping'ga javob beradi, ammo dastur hech qachon ulanmaydi. Rollar bir xil emas va farq aynan dizayn ishi joylashgan joyda.

Ulanish yo'nalishi xizmat yo'nalishi haqida hech narsa demaydi

Mijoz tunnelni boshlaganda, u paydo bo'lgach ikkala yo'nalish ham foydalana oladigan yo'lni ochadi. Yangi ulanish hubdan shu mijozga kira oladimi — bu shlyuz siyosati masalasi, ulangan kishining xususiyati emas. Masalan, marshrutlangan OpenVPN hubida serverga mijozning ichki manziliga yo'l va teng huquqli munosabatga ruxsat beruvchi yo'naltirish kerak.

Roaming noutbuklardagi agentni so'rov qiluvchi inventar tizimini yoki uydagi ish stansiyasidan sinov API kerak bo'lgan dasturchini tasavvur qiling. Ikkisi ham suhbatni ofis tomondan boshlashni xohlaydi, bu odatiy mijozdan serverga modelining teskarisi.

Xostingdagi masofaviy kirish mahsulotlari bu yerda farq qiladi va bu farq xato emas. Ba'zi boshqariladigan VPN xizmatlari ulangan mijozlarga qaratilgan so'ralmagan ulanishlarni ataylab bloklaydi, chunki ularning modeli mijozdan resursga, resursdan mijozga emas. Hamkasbingizga noutbuki server bo'la oladi, deb va'da berishdan oldin mahsulotning hujjatlashtirilgan arxitekturasini o'qing.

Portni ochishdan oldin qaytish yo'lini kuzatib boring

Yo'lda uch qism bor: shlyuzdagi mijozning ichki manziliga qaratilgan marshrut, muayyan chaqiruvchiga ruxsat beruvchi siyosat va maqsadda tinglovchi xizmat. Har bir qism turlicha ishdan chiqadi, shuning uchun «VPN yoniq» degani deyarli hech narsa demaydi.

Yaxshi xabar — ichki yo'l mijozning uy routerida port yo'naltirishni talab qilmaydi. Xizmatni uy WAN manzilida emas, tunnel manzilida e'lon qilishning ma'nosi shu, chunki uy WAN manzilida ochiqlik va NAT qoidalari butunlay boshqacha bo'lardi. Uy routeri ofisdan kelayotgan ulanishni hairpin qilishdan ham bosh tortishi mumkin, shuning uchun WAN yo'li sizning VPN'ingizga aloqasi bo'lmagan sabablarga ko'ra ishlamaydi. Trafikni tunnel ichida saqlash ikkala muammoni birga chetlab o'tadi.

Maqsad tomonini ham tekshiring. Faqat 127.0.0.1 ga bog'langan xizmat tunnel interfeysiga keladigan ulanishni qabul qila olmaydi, shlyuz marshrutlari qanchalik to'g'ri bo'lsa ham. Portga faqat mahalliy quyi tarmoqdan ruxsat beruvchi xost xavfsizlik devori qoidasi ham ofis trafigini tashlab yuboradi va bu qoida yuqoridagi VPN siyosatidan mustaqil.

Nom va manzillar dizayn qarorlari

Tunnel ichidagi manzil o'z-o'zidan nom bo'lib qolmaydi. Siz nazorat qiladigan shaxsiy DNS yozuvi aniqlash protokoli tunneldan o'tadi degan umiddan ko'ra aniqroq, chunki mahalliy multicast nom hal qilish mahalliy segmentda qoladi va quyi tarmoqlar orasidagi DNS bo'lmaydi.

Manzil barqarorligi ham shunchalik muhim. Agar VPN mijozlari qisqa ijara muddatli puldan manzil olsa, noutbukning ichki manzili seanslar orasida o'zgaradi va unga qurilgan har bir xatcho'p, xavfsizlik devori doirasi va monitoring tekshiruvi jimgina buziladi. Rezerv yoki hujjatlashtirilgan dinamik yangilash yo'lidan foydalaning.

Nomni VPN identifikatsiyasiga ega shaxs bilan kelishing, yozuv, manzil taqsimoti va kirish siyosati uchta alohida biletda emas, birga o'zgarsin.

Xizmatni sinab ko'ring, a'zolikni emas

Maqsaddan nima va qaysi manzilda tinglayotganini tasdiqlang, so'ng shlyuzning qaytish yo'li haqidagi ko'rinishini tasdiqlang:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Endi ofis tomondan aks-sado emas, haqiqiy so'rov bilan sinab ko'ring. Xizmatga qarshi muvaffaqiyatli curl yo'lni, siyosatni va tinglovchini bir vaqtda isbotlaydi, muvaffaqiyatli ping esa faqat ICMP ruxsat etilganini isbotlaydi. So'rov muvaffaqiyatsiz bo'lsa, xavfsizlik devorini kengaytirib umid qilish o'rniga uch qismdan orqaga yuring.

Mavjudlik ham shu suhbatga tegishli. Noutbuk uxlaydi, tarmoqlar orasida yuradi va kun oxirida uziladi. Har qanday soatda javob berishi kerak bo'lgan xizmat doim yoniq xostga tegishli, eng yaxshi harakatli xizmat esa bu cheklov yozilgan holda mijozda qolishi mumkin.

Resursni ataylab e'lon qiling, nom, ruxsat etilgan chaqiruvchilar ro'yxati va egasi bilan, va masofaviy qurilma tasodifiy server emas, qo'llab-quvvatlanadigan xizmatga aylanadi.