Zdalne połączenie z serwerem lokalnym

Zdalne połączenie z serwerem lokalnym powinno przebiegać przez VPN, a nie bezpośrednie wystawienie portu.

Dlaczego dostęp do serwera lokalnego prowadzi się przez VPN

Zdalne połączenie z serwerem działającym w lokalnej sieci powinno być realizowane przez wirtualną sieć prywatną VPN. VPN tworzy szyfrowany tunel między urządzeniem użytkownika a bramą sieciową albo serwerem VPN znajdującym się w chronionej sieci. Dopiero po uwierzytelnieniu klient otrzymuje dostęp do określonych adresów i usług wewnętrznych. Dzięki temu serwer lokalny nie musi być bezpośrednio dostępny z całego internetu.

Bezpośrednie przekierowanie portu na routerze oznacza, że usługa serwera otrzymuje publiczny punkt dostępu. Jeżeli aplikacja, system operacyjny albo konfiguracja uwierzytelniania zawiera błąd, osoba skanująca internet może próbować wykorzystać tę słabość. Samo hasło nie zastępuje aktualizacji, ograniczenia dostępu i szyfrowania. VPN zmniejsza powierzchnię wystawioną publicznie, ponieważ z internetu widoczny jest przede wszystkim punkt terminujący tunel, a nie każda udostępniona usługa lokalna.

Jak przebiega zestawienie tunelu i autoryzacja

Po uruchomieniu klient VPN na laptopie lub komputerze klient nawiązuje połączenie z publicznym adresem bramy VPN. Brama sprawdza tożsamość użytkownika lub urządzenia, a następnie negocjuje parametry szyfrowania i tworzy logiczną trasę do sieci lokalnej. W zależności od zastosowanego rozwiązania uwierzytelnianie może korzystać z kluczy kryptograficznych, certyfikatów albo danych logowania. Uprawnienia powinny określać, do jakich podsieci i portów użytkownik może sięgać.

Po zestawieniu tunelu system otrzymuje trasę kierującą ruch do wybranej podsieci przez interfejs VPN. Dostęp do serwera może odbywać się po jego prywatnym adresie IP, nazwie DNS używanej wewnątrz sieci albo innym adresie rozpoznawanym przez lokalną infrastrukturę. Jeżeli tunel działa, ale serwer nie odpowiada, trzeba rozdzielić problem z samym VPN od problemu z usługą docelową. Przydatne są wtedy informacje o przydzielonym adresie VPN, trasach, rozwiązywaniu nazw, regułach zapory oraz stanie nasłuchiwania usługi na serwerze.

Zapora, trasy i ograniczenie dostępu do usług

Uruchomienie VPN nie oznacza automatycznie, że każda usługa w sieci lokalnej powinna być dostępna zdalnie. Na bramie VPN i na serwerze należy ograniczyć ruch do wymaganych podsieci, adresów źródłowych oraz portów. Reguły zapory powinny odróżniać ruch przychodzący z interfejsu VPN od ruchu z publicznego interfejsu internetowego. Usługa przeznaczona wyłącznie dla sieci wewnętrznej nie powinna być wystawiana na publicznym adresie tylko dlatego, że użytkownik potrzebuje dostępu poza biurem.

Ważna jest również poprawna konfiguracja routingu. Trasa do podsieci serwera musi wskazywać właściwą bramę, a urządzenia w sieci lokalnej muszą znać drogę powrotną do adresów przydzielanych klientom VPN. Jeżeli brakuje trasy zwrotnej, pakiety mogą docierać do serwera, ale odpowiedzi nie wrócą do laptopa. Podobny objaw powoduje translacja adresów, filtrowanie ruchu między podsieciami albo nasłuchiwanie usługi wyłącznie na interfejsie lokalnym. Diagnostyka powinna obejmować test połączenia do adresu bramy VPN, sprawdzenie trasy do serwera, próbę połączenia z konkretnym portem oraz analizę logów po obu stronach.

Bezpieczna diagnostyka połączenia z lokalnym serwerem

Przed zgłoszeniem awarii warto ustalić, czy problem dotyczy pojedynczego urządzenia, konta, klienta VPN czy całej bramy. Należy sprawdzić aktualność klienta, datę i godzinę systemową, stan połączenia internetowego oraz komunikat otrzymywany podczas logowania. Nieprawidłowy czas może uniemożliwić poprawną walidację certyfikatu, a zmieniony publiczny adres bramy może sprawić, że klient próbuje łączyć się z nieaktualnym punktem końcowym. Hasła, klucze prywatne i pliki konfiguracyjne VPN powinny być przekazywane wyłącznie uprawnionym osobom i nie powinny trafiać do publicznych repozytoriów ani niezaszyfrowanych załączników.

Podczas diagnostyki trzeba odróżnić brak tunelu od braku dostępu do serwera po tunelu. Jeżeli klient nie uzyskuje sesji VPN, analizuje się uwierzytelnianie, dostępność bramy i negocjację parametrów. Jeżeli tunel jest aktywny, ale nazwa serwera nie działa, sprawdza się DNS oraz lokalny zakres nazw. Jeżeli nazwa jest rozwiązywana, lecz aplikacja nadal nie odpowiada, weryfikuje się trasę, zaporę i stan konkretnej usługi na serwerze. Testy powinny być wykonywane z zachowaniem zasady najmniejszych uprawnień, bez wyłączania całej zapory i bez trwałego otwierania dodatkowych portów w internecie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki sprzętu może również sprawdzić ustawienia systemowe, kartę sieciową, sterowniki oraz podstawową komunikację urządzenia z siecią. W przypadku połączeń z serwerem istotne jest przygotowanie dokładnych danych: godziny wystąpienia problemu, używanego urządzenia, komunikatu błędu oraz informacji, czy inne osoby mogą w tym samym czasie korzystać z VPN.