pfSense OpenVPN: arribar a una xarxa darrere un altre encaminador

El teu portàtil arriba a la LAN de pfSense a través de la VPN i tot i així no aconsegueix arribar a un servei dos salts més endins, i la diferència és una decisió d’encaminament per propietari. Tres dispositius s’han de posar d’acord abans que un paquet completi el seu viatge d’anada i tornada: el client, el tallafoc i l’encaminador que realment posseeix la xarxa de destinació. Si en falla un, el símptoma sembla idèntic.

Segueix un paquet per aquestes tres decisions abans de canviar una regla, perquè cada propietari té un control diferent i una manera de fallar diferent.

Un paquet, tres decisions d’encaminament

El client decideix si la destinació pertany al túnel, i només pot decidir a partir del que sap: una ruta empesa, una ruta local o una ruta per defecte que ja ho cobreix tot. pfSense decideix on enviar el paquet a continuació, cosa que per a una xarxa darrere un altre encaminador significa una ruta estàtica a través d’una porta d’enllaç abastable a la interfície correcta. L’encaminador de baix decideix si coneix un camí de tornada al pool de la VPN, i si no el coneix, la resposta es descarta o s’envia a un lloc inútil. Cada decisió és independent de les altres dues.

El fracàs de qualsevol d’elles produeix el mateix informe d’usuari. Per això l’ordre de depuració importa més que les eines.

Dona al client un prefix, no una suposició

En un servidor pfSense SSL/TLS amb una xarxa de túnel IPv4 més gran que un /30, el camp IPv4 Local network(s) distribueix rutes als clients quan es connecten. Afegeix-hi el prefix de baix en lloc de confiar que el client n’inventi un. Després llegeix la taula real del client un cop connectat, perquè un perfil amb route-nopull o un filtre de rutes pot ignorar el que el servidor ha enviat. El servidor pot ser perfectament correcte mentre el client no instal·la res.

Altres modes de servidor i topologies tenen límits diferents, i la política per client o per connexió pot canviar què rep un client concret. Verifica-ho al client que importa, no al que hagis provat primer per casualitat.

Apunta pfSense a l’encaminador intern

Una ruta estàtica a pfSense necessita una porta d’enllaç definida i abastable, i la interfície triada per a aquesta porta ha de ser la que realment hi arriba, tal com descriu la guia de rutes estàtiques de Netgate. En un disseny il·lustratiu, l’enllaç de trànsit és 192.168.77.1 al tallafoc i 192.168.77.2 a l’encaminador intern, amb la xarxa de serveis a 172.16.30.0/25 darrere seu. Aleshores la ruta anomena el prefix i el següent salt, no l’adreça del servei. Fer servir una adreça de la xarxa remota com a porta d’enllaç és una manera habitual de construir una ruta que sembla correcta i no encamina enlloc.

Assignar un nom a una interfície no descriu les xarxes que hi ha més enllà. La ruta estàtica és aquesta descripció.

El costat remot ha de conèixer el pool

L’encaminador de baix necessita una ruta de tornada per al pool, en aquest exemple 10.55.0.0/24 via 192.168.77.1, tret que una ruta per defecte o un protocol dinàmic ja en proporcioni una. La porta d’enllaç del propi amfitrió del servei ha de portar cap a aquest encaminador, cosa que normalment és certa quan l’encaminador és la seva porta d’enllaç per defecte i falsa quan l’amfitrió es va configurar a mà. L’encaminament per política al tallafoc també pot substituir la taula per a trànsit concret, així que comprova si una regla selecciona una porta d’enllaç diferent abans de concloure que la ruta és incorrecta.

Aquest disseny no requereix cap traducció, i mantenir visible l’adreça d’origen del client permet que la xarxa de baix apliqui la seva pròpia política.

Per a l’acceptació, segueix una petició nova a través de l’entrada del túnel, la sortida interna del tallafoc i la resposta de la destinació. Si en canvi s’utilitza la traducció deliberadament, registra quina font veu la xarxa de baix i com s’espera que torni la resposta.

Desa el pla dels tres propietaris al costat de l’aplicació permesa, perquè el proper administrador pugui reconstruir el camí en lloc de tornar a descobrir-lo.