Un ganolfan OpenVPN, tair LAN: cynllun cyfeiriadau a ffeiliau iroute

Pedwar rhagddodiad digyswllt, un llwybr cnewyllyn fesul cangen, un iroute fesul perchennog. Trefn waith ar gyfer canolfan tri safle sy’n methu’n dawel pan fydd enw’n anghywir.

Gall tair LAN breifat gwrdd ar un ganolfan heb i unrhyw safle ddysgu am fewndir y lleill, ac mae’r cynllun cyfan yn sefyll ar bedwar penderfyniad cyflunio byr. Yr hyn sy’n ei wneud yn gweithio nid yw nodwedd brotocol ecsotig, ond cynllun cyfeiriadau nad oes rhaid i neb ei ddyfalu, ynghyd â llwybrau fesul cleient sy’n dweud wrth y ganolfan pa gangen sy’n berchen ar ba rhagddodiad. Ceisiwch gael unrhyw un o’r rheini’n anghywir ac mae’r tiwnel yn codi o hyd, a dyna’n union sy’n gwneud y methiant yn ddryslyd.

Ewch drwy’r camau yn eu trefn. Mae pob un yn dibynnu ar y cynllun o’r cam o’r blaen, ac nid oes yr un yn gofyn am awdurdod ardystio newydd.

Dechreuwch â chynllun nad oes rhaid i neb ei ddyfalu

Nodwch bedwar rhagddodiad digyswllt cyn cyffwrdd â ffeil gyflunio: LAN bersonol y ganolfan, LAN pob cangen, a’r gronfa a roddir i gleientiaid crwydrol. Digyswlltedd sy’n cadw popeth arall yn syml, oherwydd mae ystodau sy’n gorgyffwrdd yn troi llwybro’n bos cyfateb-hiraf nad oes unrhyw gyfluniad fesul cleient yn ei drwsio. Yna cadarnhewch pa beiriant yw’r porth cyrchfan ar gyfer pob LAN, oherwydd mae angen i lwybrydd cangen nad yw’n borth ei LAN ei hun osod y llwybrau pell mewn man hollol arall. Yn olaf, sefwchwch yr enwau dilysedig sy’n adnabod pob cangen, oherwydd yr enwau hynny yw’r allweddi y chwilir y ffeiliau fesul cleient ar eu cyfer.

Mae cynllun enghreifftiol yn cadw’r gronfa ymhell oddi wrth y tair LAN. Bydd eich un chi’n wahanol, a’r unig reol galed yw na chaiff unrhyw ddwy ystod orgyffwrdd.

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

Dywedwch wrth gnewyllyn y ganolfan ble mae’r canghennau

Mae ar y ganolfan angen dwy ran o wybodaeth fesul cangen: llwybr yn y cnewyllyn sy’n anfon y rhagddodiad i mewn i ddyfais y tiwnel, a iroute chofnod sy’n dweud wrth OpenVPN broses pa gleient sy’n berchen arno. Mae’r llwybr cnewyllyn ar ei ben ei hun yn danfon pecynnau i’r tiwnel ac yn stopio yno, oherwydd rhaid i’r daemon benderfynu o hyd pa gyfoedydd ddylai eu derbyn. Mae’r cofnod iroute ar ei ben ei hun yn gadael y pecynnau hynny yn y cnewyllyn heb lwybr i’w ddilyn. Mae’r ddwy linell yn perthyn i’r cyfluniad y mae’r daemon yn ei lwytho mewn gwirionedd, sy’n werth ei wirio cyn datgan unrhyw beth arall.

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

Cadwch gleient-i-gleient i ffwrdd pan fo’r cnewyllyn i fod yn bwynt gorfodi. Mae’r opsiwn hwnnw’n ailgyfeirio traffig rhwng cyfoedydd y tu mewn i’r daemon, sy’n gyfleus ac yn golygu hefyd nad yw eich rheolau anfon byth yn gweld y llif. Mae popeth isod yn tybio bod y cnewyllyn yn gweld pob pecyn rhwng canghennau.

Rhowch i bob cangen y llwybrau sydd eu hangen arni

Mae angen llwybrau ar bob cangen ar gyfer y canghennau eraill ac ar gyfer LAN y ganolfan, ac nid oes angen un ar gyfer ei LAN gysylltiedig ei hun. Gwthiwch y rhagddodiaid pell o’r ganolfan yn hytrach na’u gludo i mewn i bob llwybrydd, fel bod pedwerydd safle’n golygu un ffeil newydd fesul cleient yn lle pedwar golygiad. Mae’r ffeil fesul cleient hefyd yn cario’r llinell iroute, sy’n cadw perchnogaeth a hysbyseb yn yr un man. Gwnewch y cyfeiriadur a’i ffeiliau’n ddarllenadwy o dan fodel braint y gweinydd, neu bydd y chwiliad yn methu heb neges.

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

Mae pedwerydd safle’n dilyn yr un patrwm: enw dilysedig ar wahân, rhagddodiad sy’n berchen, llwybr cnewyllyn canolfan, iroute cofnod, a hysbysebion yn unig i’r safleoedd y caniateir iddynt ei gyrraedd.

Profwch y ddau gyfeiriad cyn dweud bod hyn wedi gorffen

Galluogwch anfon IPv4 ar y tri llwybrydd, yna cadarnhewch fod y mur tân yn caniatáu’r llifoedd a fwriedir yn y ddau gyfeiriad, oherwydd mae prawf un ffordd yn llwyddo gyda llwybr dychwelyd wedi torri yn amlach nag y mae unrhyw un yn disgwyl. Nid oes angen cyfieithu ffynhonnell rhwng safleoedd, a chadw’r ffynhonnell wreiddiol sy’n gadael i bob cangen gymhwyso ei pholisi ei hun i gais.

Profwch o westeiwr ar LAN un gangen i wasanaeth ar un arall, yna gwrthdroi’r cyfeiriad, yna profi o gangen i LAN y ganolfan. Mae’r tri chanlyniad yn dystiolaeth wahanol, ac nid oes yr un ohonynt yn awgrymu’r lleill. Os nad yw llwybrydd cangen yn borth cyrchfan ei LAN, gosodwch y rhagddodiaid pell ar y gwir borth a chynhwyswch y gronfa hefyd pan fydd cleientiaid y tiwnel angen cychwyn cysylltiadau i’r LAN honno.

Cofnodwch y cynllun, y ffeiliau fesul cleient a’r rheolau mur tân fel un ddogfen, oherwydd bydd yr ychwanegiad safle nesaf yn cael ei farnu yn eu herbyn.

Mae’r cynllun yn dal at ei gilydd oherwydd bod gan bob haen un gwaith: mae’r cynllun yn cadw rhagddodiaid yn unigryw, mae’r llwybr cnewyllyn yn symud pecynnau, mae’r iroute yn enwi’r perchennog, ac mae’r mur tân yn penderfynu beth a ganiateir. Pan fydd rhywbeth yn torri, mae’r rhestr honno hefyd yn y drefn i’w wirio.

Erthyglau cysylltiedig