Defnyddiwr porth Access Server: llwybro LAN cangen cleient

Gallwch bingo cyfeiriad twnnel cleient OpenVPN a pharhau i fethu cyrraedd unrhyw westeiwr ar y LAN y tu ôl iddo. Mae Access Server yn rhoi cyfeiriad o'r pwll VPN i'r cleient, a'r cyfeiriad pwll yw'r cyfan mae'r gweinydd yn gwybod sy'n eiddo iddo. Mae rhagddodiad y gangen yn ffaith ar wahân y mae'n rhaid ei datgan, a hyd yn oed wedyn mae angen anfonwr ymlaen yn y gangen a llwybr dychwelyd yn y pencadlys. Mae llwybr a deipiwyd yn y lle anghywir yn edrych fel ateb ac yn newid dim.

Dau gyfeiriad, dau hawl perchnogaeth wahanol

Pan fydd cleient yn cysylltu, mae Access Server yn rhoi cyfeiriad iddo o'r pwll VPN a ffurfweddwyd, er enghraifft 10.90.0.0/24. Les i un westeiwr yw'r aseiniad hwnnw. Nid yw'r cysylltiad yn dweud bod yr un cleient hefyd o flaen 10.60.0.0/24, ac ni fydd y gweinydd yn dyfalu: dim ond os bydd gweinyddwr yn ei ddatgan y mae rhagddodiad LAN yn cyrraeddadwy trwy gleient penodol.

Dyna pam nad yw llwybr statig ar beiriant arall yn gweithio. Mae'r llwybr yn dweud anfon 10.60.0.0/24 i'r cyfeiriad hwn, ond os yw'r cyfeiriad yn perthyn i gleient na chafodd ei farcio'n borth, nid oes gan y gweinydd reswm i ddosbarthu'r pecynnau hynny yno, a gall stac y cleient eu gollwng. Mae'r datganiad a'r llwybr yn ddwy hanner un mecanwaith.

Beth mae'r gosodiad porth yn ei osod mewn gwirionedd

Yn yr Admin Web UI mae'r datganiad yn briodwedd defnyddiwr: galluogwch Configure VPN gateway ar y defnyddiwr cysylltydd a rhowch ragddodiad gwir y gangen yn Network on the VPN client side. Mae'r defnyddiwr hwnnw'n dilysu fel unrhyw un arall, felly mae angen polisi cymwysterau sy'n addas i ddyfais heb oruchwyliaeth, a chyfrinach yw ei broffil mewngofnodi awtomatig, nid ffeil gyfleustra.

Y tu ôl i'r blwch ticio hwnnw mae'r gweinydd yn trin y rhagddodiad fel un cyrraeddadwy trwy gyfeiriad pwll y cleient hwnnw, ac mae'r ffurfweddiad llwybro o dan Access Controls yn penderfynu beth a ddywedir wrth gleientiaid eraill: y llwybrau a wthir at gleientiaid cyffredin a'r rheolau mynediad sy'n caniatáu traffig o rwydweithiau'r pencadlys i gyfeiriadau ac is-rwydweithiau cleientiaid. Galluogwch lwybro ar gyfer y rhwydweithiau a ddylai gyrraedd y gangen, a chadwch y rhestr a ganiateir yn fyr.

Nid yw cyfarwyddeb arddull Community a gludwyd i ffeil a gynhyrchwyd yn cymryd rhan yn y model hwn. Y cynnyrch sy'n berchen ar y tabl llwybro a wthir; mae llinell a olygwyd â llaw yn cael ei throsysgrifo yn y gynhyrfiad nesaf neu'n cael ei hanwybyddu.

Cwblhewch lwybrau dychwelyd y ddwy rwydwaith

Cynllun pendant: pencadlys 10.40.0.0/24, cangen 10.60.0.0/24, pwll VPN 10.90.0.0/24, ac Access Server ar gael ar gyfeiriad preifat ar ochr y pencadlys. Mae angen llwybrau ar lwybrydd y pencadlys ar gyfer rhagddodiad y gangen a'r pwll, y ddau tuag at Access Server. Heb y rheini mae'r twnnel yn cario'r cais ac mae'r ateb yn gadael trwy'r porth rhagosodedig, sy'n rhoi'r cysylltiad hanner-agored clasurol.

Yn y gangen rhaid i'r cysylltydd anfon ymlaen becynnau nad ydynt wedi'u cyfeirio ato ef ei hun: IP forwarding yn ei system weithredu ynghyd â chaniatâd anfon ymlaen wedi'i gyfyngu i ryngwynebau'r twnnel a'r LAN; ar Linux net.ipv4.ip_forward=1 gyda rheolau'r gadwyn forward, ar Windows routing and remote access. Yna mae angen llwybr dychwelyd ar westeiwyr y gangen: naill ai'r cysylltydd yw eu porth rhagosodedig, neu mae'r porth presennol yn cario llwybrau penodol ar gyfer rhagddodiadau'r pencadlys a'r pwll.

Nid yw tabl llwybro'r cysylltydd yn ailffurfweddu pob westeiwr ar LAN y gangen. Os yw'r gwesteiwyr yn pwyntio at lwybrydd arall, yno y mae'r llwybrau dychwelyd, a rhaid iddo dderbyn nad yw'r cyfeiriad ffynhonnell a wel yn gymydog ar yr is-rwydwaith leol.

Darllenwch fethiant fel llwybr, nid fel caniatâd

Profwch mewn trefn sefydlog. Yn gyntaf gwasanaeth a ganiateir o Access Server i westeiwr yn y gangen, yna'r un gwasanaeth o westeiwr cyffredin yn y pencadlys, yna'r cyfeiriad arall os yw'r polisi'n caniatáu. Os bydd y cyntaf yn pasio a'r ail yn methu, y llwybrau a wthir neu'r rheolau mynediad sy'n gyfrifol. Os bydd y ddau yn pasio ond nad yw atebion yn cyrraedd, archwiliwch yr anfon ymlaen yn y gangen a'r llwybr dychwelyd yn y pencadlys.

Y tânfur westeiwr yw'r amheuai nesaf, oherwydd gyda mynediad llwybrol mae'r gyrchfan yn gweld cyfeiriad pencadlys neu bwll fel ffynhonnell. Ni fydd rheol a ysgrifennwyd ar gyfer yr is-rwydwaith leol yn cyfateb, a chaiff y pecyn ei ollwng ar ôl i'r llwybro weithio'n berffaith.

Mae dau ddyluniad angen mwy na'r patrwm hwn. Mae rhagddodiadau sy'n gorgyffwrdd rhwng safleoedd yn gwneud y gyrchfan yn amwys ac yn gofyn am ailrifo neu gyfieithu, ac mae angen i Access Server clwsteredig gael llwybr gweithiol o bob nod i gysylltydd y gangen, nid un nod yn dal y llwybr. Cymhwyswch newidiadau trwy lwybr arferol cadw a diweddaru, ailgysylltwch y cysylltydd, a dilyswch o'r ddau ben; nid yw ailgychwyn pob peiriant yn rhan o'r weithdrefn.

Mae diwtorial site-to-site Access Server yn rhestru'r un gosodiadau yn nhrefn y cynnyrch; mae'n werth ei ddilyn unwaith cyn addasu'r dyluniad i'ch rhagddodiadau eich hun.