Cổng VPN của Windows: ba công việc, ba chủ sở hữu

Ba chức năng bị gộp lại mỗi khi ai đó nói máy chủ VPN: kết thúc đường hầm mã hóa, di chuyển gói tin giữa các mạng và, tùy chọn, viết lại địa chỉ. Trên Windows, chúng nằm ở những phần khác nhau của ngăn xếp, ngay cả khi một máy làm cả ba. Mỗi chức năng có đầu vào riêng và cách hỏng riêng, và mỗi chức năng có thể giao cho một sản phẩm khác. Tách chúng ra trên giấy là cách rẻ nhất để giữ một triển khai nhỏ dễ hiểu.

Một thiết kế dễ đọc gọi tên chủ sở hữu của từng luồng thay vì mô tả cỗ máy như một vai trò.

Kết thúc, chuyển tiếp, dịch

RRAS xử lý đường hầm cho trường hợp gốc của Windows: xác thực người dùng, cấp địa chỉ từ một nhóm và quyết định những đích nào được phép. Một sản phẩm VPN khác có thể sở hữu bộ lắng nghe và bộ điều hợp ảo, để Windows chuyển tiếp các gói tin đã giải mã. Tài liệu Remote Access của Microsoft tách biệt các vai trò VPN, site-to-site và định tuyến, và việc cài đặt vai trò định tuyến không tạo ra danh tính VPN thứ hai. Thêm một ứng dụng VPN khác cũng không trao bộ điều hợp của nó cho mọi tính năng cổng hiện có.

Dịch địa chỉ là công việc thứ ba và tùy chọn nhất. Nó diễn ra sau chuyển tiếp và thay đổi địa chỉ nguồn mà mạng xa nhìn thấy. Bạn có cần hay không phụ thuộc vào việc mạng đích chấp nhận gì làm nguồn, chứ không phải việc cỗ máy được gọi là cổng VPN.

Ai sở hữu bộ điều hợp và nhóm địa chỉ

Khi nhiều sản phẩm chia sẻ máy chủ, bốn thứ cần mỗi thứ một chủ sở hữu: cổng lắng nghe, vòng đời bộ điều hợp, nhóm địa chỉ máy khách và các tuyến. Bộ điều hợp là thứ khó xử, vì một dịch vụ VPN có thể tạo nó động và hủy nó khi ngắt kết nối. Coi giao diện đó như một card mạng có tên cố định và viết quy tắc theo tên của nó chỉ đúng cho đến lần kết nối lại tiếp theo. Hãy dùng điểm tích hợp được sản phẩm hỗ trợ thay vì mã hóa cứng tên giao diện.

Nhóm địa chỉ là va chạm thứ hai. Hai sản phẩm cấp các dải chồng lấn tạo ra định tuyến trông có vẻ đúng và không giao được gì. Giữ các nhóm trong cùng tài liệu với các tuyến, để thay đổi ở cái này hiển thị so với cái kia.

Giữ nguyên nguồn hay viết lại

Giữ nguyên địa chỉ nguồn của máy khách duy trì khả năng hiển thị theo người dùng: nhật ký, hạn mức và quy tắc tường lửa có thể phân biệt người dùng này với người dùng khác. Cái giá là mạng LAN đích cần một tuyến quay lại cổng, và ai đó phải duy trì nó. Viết lại nguồn bằng NAT loại bỏ yêu cầu đó và loại bỏ luôn khả năng hiển thị. Hãy chọn có chủ ý và ghi lại thông tin nào bị việc viết lại che giấu.

Truy cập mạng riêng, lối ra internet và các kết nối kết thúc ngay trên cổng là ba đường khác nhau. Không phải tất cả đều cần cùng một cách xử lý.

Mô tả luồng trong một câu

Một câu nên mô tả thiết kế: dịch vụ này nhận những máy khách nào, chính sách chuyển tiếp đó cấp những tài nguyên nào và tuyến quay lại hoàn tất luồng ra sao. Nếu câu đó cần một lớp NAT thứ hai mới đúng, đó thường là dấu hiệu các phần trước chưa được chốt. Máy chủ cũng là ranh giới lỗi và tin cậy chung, nên một thay đổi định tuyến có thể ảnh hưởng cả truy cập người dùng lẫn quản trị. Giữ một đường phục hồi độc lập cho phần sau.

Giữ một bản kiểm kê vai trò bên cạnh cấu hình: sản phẩm nào kết thúc, cái nào chuyển tiếp, cái nào dịch và ai có thể thay đổi từng cái. Danh sách đó là thứ khiến thay đổi tiếp theo có thể được xem xét.

Khi câu trở nên mơ hồ, thêm một lớp dịch nữa hiếm khi làm nó rõ hơn. Bỏ đi một lớp thường làm được điều đó.