Khi máy khách truy cập từ xa phải đóng vai trò cổng chi nhánh

Một máy tính xách tay kết nối VPN có thể tới trụ sở chính. Máy in và máy chủ tệp trên cùng bàn thì không, vì không có gì chuyển tiếp gói tin của chúng vào đường hầm đó hay mang phản hồi trở lại. Biến máy khách thành cổng chi nhánh là quyết định về định tuyến và trách nhiệm trước khi là quyết định về cấu hình. Tên giao thức trên hộp không trả lời liệu vai trò đó có được hỗ trợ hay không.

Nhãn giao thức không cho bạn biết điều gì

OpenVPN ghi lại thiết kế site-to-site trong đó một bộ kết nối chuyển tiếp toàn bộ mạng con, và Access Server triển khai điều đó bằng vai trò cổng và định tuyến tường minh. Một sản phẩm khác được bán như SSL VPN có thể chỉ cung cấp các chức năng cho người dùng từ xa, không có cách được hỗ trợ để quảng bá mạng phía sau máy khách. Phiên bản cũng quan trọng, vì một tính năng có trong bản phát hành này không phải lời hứa cho bản khác. Hãy đọc bản triển khai bạn thực sự chạy, và coi công thức viết cho sản phẩm khác là gợi ý chứ không phải thiết kế.

Câu hỏi cần giải quyết trước là liệu chủ sở hữu VPN có hỗ trợ vai trò chuyển tiếp hay không. Nếu không, định tuyến phía máy khách nhiều đến đâu cũng không làm nó được hỗ trợ.

Hợp đồng có hai phía: chi nhánh và trụ sở chính

Về phía chi nhánh, một máy chủ chịu trách nhiệm chuyển tiếp, lọc và khôi phục. Nó cần một đường đi có chủ đích từ mọi thiết bị chi nhánh, và kết nối VPN bên ngoài phải vẫn tiếp cận được qua mạng nền ngay cả khi đường hầm ngừng hoạt động. Về phía trụ sở chính, ai đó phải xác định mạng con chi nhánh, chấp nhận danh tính của cổng và cho phép các tài nguyên cụ thể. Không nửa nào hoạt động một mình.

Đường trở về là phần bị bỏ qua. Địa chỉ đường hầm của máy khách không quảng bá mạng con phía sau nó, nên bộ định tuyến trụ sở chính cần một tuyến trỏ tới cổng VPN cho tiền tố đó.

Trong thiết kế định tuyến, bộ tập trung chuyển tiếp gói tin cho tiền tố chi nhánh và định tuyến LAN thượng nguồn biết cách gửi phản hồi trở lại. Trong thiết kế dịch địa chỉ, nguồn mà trụ sở chính thấy bị viết lại, điều này có thể bỏ nhu cầu một tuyến trở về nhưng che giấu máy chi nhánh nào đã gửi lưu lượng. Sự đánh đổi đó thuộc về tài liệu thiết kế, vì nhật ký ứng dụng và quy tắc truy cập mất danh tính từng thiết bị khi có dịch địa chỉ.

Định tuyến hay dịch địa chỉ: chọn đường trở về một cách có chủ đích

Chọn định tuyến khi danh tính từng thiết bị và chính sách từng máy chủ quan trọng và bạn duy trì được tuyến trở về trên mọi bộ định tuyến liên quan.

Chọn dịch địa chỉ khi bạn không thể thêm tuyến nhưng chấp nhận được việc trụ sở chính thấy một địa chỉ nguồn. Các thiết kế hỗn hợp có tồn tại và khó lập luận hơn, nên hãy ghi rõ tiền tố nào được định tuyến và tiền tố nào được dịch. Sau đó xác minh lựa chọn bằng cách bắt gói ở cả hai đầu thay vì tin vào trạng thái đường hầm.

Một kiểm tra hữu ích mang tính bất đối xứng: yêu cầu một tài nguyên từ thiết bị chi nhánh, rồi xác nhận phản hồi rời trụ sở chính về phía tiền tố chi nhánh. Lệnh traceroute -n 10.60.4.20 từ máy chủ trụ sở chính cho thấy đường đó có đi qua cổng VPN hay không.

Vận hành nó như hạ tầng, không phải như một lần đăng nhập

Hãy quyết định cách cổng khởi động, xác thực, cập nhật và khôi phục khi không ai đăng nhập. Gia hạn thông tin đăng nhập, nhắc đa yếu tố, hành vi ngủ và ai phản ứng khi chi nhánh mất quyền truy cập đều trở thành câu hỏi vận hành. Nhiều người dùng chung một đường mạng không được thừa hưởng đặc quyền cá nhân của người dùng cổng, nên cấp quyền tài nguyên, phạm vi ghi nhật ký và chính sách khi lỗi cần một người sở hữu có tên. Chia sẻ tài khoản để tránh đăng ký từng thiết bị không phải là thiết kế.

Hãy so sánh cách bố trí này với một cổng site được hỗ trợ dưới cùng các yêu cầu trước khi cam kết. Dùng lại một máy tính để bàn cũ không loại bỏ công việc bảo trì hay khôi phục, và giá đồ cũ không mô tả chi phí vận hành.

Hãy kiểm chứng các ứng dụng chi nhánh dự định, lưu lượng trở về của chúng và một đích bị từ chối theo kế hoạch đã được phê duyệt. Thành công trông như một dịch vụ mạng có chủ sở hữu với danh tính chi nhánh được đặt tên và chính sách rõ ràng, không phải một cửa sổ máy khách ghi Connected.