VPN starp birojiem, par kuru tev nav jādomā

Site-to-site VPN pa šifrētu tuneli savieno veselus tīklus, piemēram, divus birojus vai biroju un mākoni, vienā privātā tīklā. Tunelis darbojas starp katras lokācijas maršrutētāju vai Firewall, tāpēc visas iekārtas aiz tiem droši sasniedz otru pusi, un VPN klients katrā datorā vai telefonā nav vajadzīgs. Ikdienas lietotājiem nekas nemainās: koplietotās mapes, iekšējās sistēmas un printeri strādā tā, it kā visi sēdētu vienā ēkā. Mēs šos tuneļus veidojam ar IPsec vai WireGuard, saplānojam adresāciju tā, lai tīkli nepārklājas, un uzraugam savienojumus visu diennakti, tāpēc problēmas pamanām agri.

Vairumā gadījumu tev tas nav jāizlemj: pārvaldītā risinājumā protokolu katram savienojumam izvēlamies mēs, balstoties uz to, ko atbalsta abas puses. WireGuard ir ātrāks un vienkāršāks, tāpēc izmantojam to visur, kur abi galapunkti to ļauj, piemēram, starp MikroTik maršrutētāju un mūsu mākoni. IPsec paliek pareizā izvēle tad, ja otrā galā ir korporatīvais Firewall, kas saprot tikai IPsec: lielākos uzņēmumos un pie partneriem, kurus tu nekontrolē, tas joprojām ir bieži. Abos gadījumos protokols tiek nokonfigurēts ar mūsdienīgiem iestatījumiem. Ja jau zini kādu ierobežojumu savā pusē, piemini to, pieprasot piedāvājumu, un mēs to ņemsim vērā plānošanā.

Fiksēta cenrāža šeit nav, jo katra topoloģija ir citāda: divu biroju un mākoņa savienošana ir daudz mazāks darbs nekā tīkls ar daudzām lokācijām un rezerves ceļiem. Cena ir atkarīga no lokāciju un galapunktu skaita, ko vēlies savienot. Pakalpojumā jau ir iekļauts tīkla dizains ar adresācijas un maršrutēšanas plānu, tuneļu ieviešana un diennakts uzraudzība, tāpēc par šiem soļiem atsevišķi rēķini nenāk. Lai saņemtu konkrētu summu, atsūti īsu sarakstu ar savām lokācijām, iekārtām katrā no tām un savienojumiem, kas tev ir kritiski, un mēs sagatavosim piedāvājumu tieši tavai shēmai.

Jā, tas ir visbiežākais scenārijs, ar ko pie mums nāk. Izveidojam šifrētu tuneli no tava biroja maršrutētāja tieši uz tavu privāto tīklu mūsu VPS vai kolokācijā, un serveri strādā tā, it kā tie atrastos blakus telpā birojā. Darbinieki iekšējās sistēmas, datubāzes un koplietotās mapes atver pa privātajām adresēm, tāpēc šos servisus vairs nevajag turēt atvērtus publiskajā internetā. Adresāciju saplānojam kopā, lai biroja un mākoņa apakštīkli nepārklājas, nokonfigurējam maršrutēšanu abos galos un visu notestējam ar tavu komandu. Pēc tam jauna servera pievienošana mākoņa pusē ir tikai maršrutēšanas ieraksts, nevis jauns projekts.

Parasti nē. Lielākajā daļā biroju jau ir maršrutētājs vai Firewall, kas spēj noturēt tuneli: strādājam ar izplatītām platformām, piemēram, MikroTik, Fortinet un pfSense, kā arī ar mākoņa galapunktiem tur, kur lokācijā fizisku iekārtu nav vispār. Dizaina posmā pārbaudām, kas katrā vietā jau darbojas, kāda ir programmatūras versija un cik iekārta ir noslogota, un izmantojam esošo visur, kur tas ir droši. Ja birojā nav nekā piemērota, piemēram, ir tikai operatora dotā kastīte, ko nevar konfigurēt, ieteiksim atbilstošu iekārtu un to nokonfigurēsim. Iekārtas īpašnieks paliec tu, mēs pārvaldām tikai tās VPN daļu.

Katru mūsu uzturēto tuneli uzrauga monitorings ar brīdinājumiem, tāpēc pārrāvumu pamana mūsu inženieri, nevis tavi lietotāji. Pirmais solis ir diagnoze: nokritusi interneta līnija, pārstartējies maršrutētājs vai izmaiņas otras puses konfigurācijā izskatās atšķirīgi un prasa atšķirīgu risinājumu. Pēc tam tunelis tiek atjaunots vai, ja ir izbūvēts rezerves ceļš, trafiks tiek pārslēgts uz to. Kritiskām lokācijām otro ceļu izprojektējam jau tīkla dizaina posmā, lai viena līnijas kļūme neaptur tavu darbu. Savienojums, kas regulāri raustās, saņem inženiera uzmanību, pirms tas pārvēršas dīkstāvē, un tieši tā ir galvenā praktiskā atšķirība no nepārvaldīta risinājuma.

Jā. Attālinātie darbinieki pieslēdzas tam pašam privātajam tīklam, kurā ir tavi biroji un serveri mūsu mākonī. Praktiski tas nozīmē vienu adresācijas plānu un vienu Firewall noteikumu komplektu visiem, nevis atsevišķu attālinātās piekļuves risinājumu blakus biroju tuneļiem. Cilvēks, kas strādā no mājām, sasniedz tās pašas iekšējās sistēmas kā kolēģis birojā, un uz viņu attiecas tie paši piekļuves noteikumi. Arī administrēšana paliek vienkāršāka: kad kāds aiziet, tu atslēdz vienu piekļuvi, un, kad kāds serviss pārceļas no biroja uz mākoni, nevienam nekas nav jāpārkonfigurē. Pasaki aptuveno attālināto lietotāju skaitu, un mēs viņus iekļausim dizainā.

Mūsu pašu Tier 3+ datu centrs atrodas Rīgā, un mēs uzturam arī savu tīklu ar AS58269, tāpēc infrastruktūru, kurā nonāk tavs tunelis, no sākuma līdz beigām pārvaldām mēs paši. Otrs reģions ir Naaldwijk Nīderlandē, un pēc pieprasījuma ir pieejama arī Dubaija. Tunelis no tava biroja nonāk tieši tavā privātajā tīklā blakus VPS vai kolokācijas iekārtām neatkarīgi no tā, kurā reģionā tās atrodas. Ja tavas lokācijas ir izkaisītas pa vairākām valstīm, ģeogrāfiju ņemam vērā jau dizaina posmā, piemēram, savienojot katru biroju ar tuvāko reģionu. Pieprasot piedāvājumu, pajautā, kurš izvietojums tavai topoloģijai der labāk.