Pam nad yw cleientiaid OpenVPN yn cyrraedd detholwyr IPsec y porth

Anfonwch bing at westeiwr y tu ôl i’r twnnel IPsec pell o’r porth ac mae’n ateb yn lân, felly mae’r twnnel yn edrych yn iach ac mae’r tocyn yn symud ymlaen. Yna mae cleient cysylltiedig yn ceisio’r un westeiwr ac yn cael dim yn ôl. Nid oedd y ping hwnnw erioed yn dystiolaeth ar gyfer llif y cleient, oherwydd fe aeth allan gyda chyfeiriad ffynhonnell y porth ei hun ac fe gydweddodd â detholwr IPsec gwahanol. Mae deall pam mae’r ddau achos yn gwahanu yn rhan fwyaf o’r atgyweiriad.

Mae ping y porth yn profi llif na fydd eich cleient byth yn ei ddefnyddio

Y cyfeiriad ffynhonnell sy’n penderfynu pa bolisi sy’n berthnasol. Mae pecyn a gynhyrchir ar y porth yn gadael gyda chyfeiriad o’i LAN lleol neu o flaen ei dwnnel, ac mae’r polisi sy’n cydweddu ag ef wedi’i ysgrifennu ar gyfer yr achos hwnnw’n union. Mae pecyn cleient yn cyrraedd y rhyngwyneb OpenVPN yn cario cyfeiriad o bwll y cleientiaid, sy’n ddetholwr hollol wahanol.

Dyna pam mae’r methiant yn edrych fel problem llwybro pan mae mewn gwirionedd yn broblem cwmpas polisi. Mae cyrhaeddedd o’r porth yn profi bod y cymar yn fyw a bod y cynigion wedi’u trafod, ac nid yw’n profi dim am ba un a yw’r pwll wedi’i ddiogelu.

Gwthiwch y rhagddodiad pell y mae’r rhaglen ei angen mewn gwirionedd

Cymerwch y pâr enghreifftiol 10.8.0.0/24 ar gyfer cleientiaid cysylltiedig a 172.30.239.0/25 ar gyfer y rhwydwaith pell a ddiogelir. Yr hyn sydd ei angen ar gleient yw llwybr i’r ail ragddodiad, nid i LAN y porth ac nid i ryw gyfeiriad twnnel arall. Llwybr a wthir i’r pwll sy’n gwneud i’r cleient drosglwyddo’r traffig hwnnw i’r porth o gwbl. Heb hynny, ni fydd y pecyn byth yn cyrraedd y penderfyniad polisi rydych yn ei ddadfinio.

Mewn gweinydd Community sy’n derbyn llwybrau a wthiwyd, mae’r gyfarwyddeb yn cymryd y mwgwd go iawn: push "route 172.30.239.0 255.255.255.128". Mae Access Server yn ffurfweddu’r un cyrchfan trwy osodiadau rhwydwaith preifat neu reolau mynediad y fersiwn a osodwyd, gyda’r modd llwybro neu gyfieithu yn cael ei ddewis yn fwriadol. Golygu cadwyni firewall a gynhyrchwyd yn lle’r ffurfweddiad perchennog yw sut mae gosodiad gweithiol yn dod yn amhosibl i’w atgynhyrchu.

Ar ôl cysylltu, darllenwch dabl llwybro’r cleient yn hytrach na bwriad y gweinydd. Mae llwybr sy’n cwmpasu’r pwll yn unig yn golygu na chyrhaeddodd y gwthiad, ac mae llwybr diofyn trwy’r twnnel yn lletach na’r gofyniad hwn a bydd yn eich synnu’n ddiweddarach. Gwiriwch y mwgwd yn ogystal â’r rhagddodiad, oherwydd mae /25 a wthir fel /24 yn anfon traffig cyfeiriadau cyfagos i lwybr na all ei gario. Yna cadarnhewch fod y cleient wedi dewis rhyngwyneb y twnnel ar gyfer y cyrchfan hwnnw.

Gwnewch i’r detholwyr gynnwys pwll y cleientiaid

Ar gyfer mynediad llwybro sy’n cadw cyfeiriadau cleientiaid, rhaid i’r polisi IPsec ddiogelu traffig rhwng y pwll a’r rhagddodiad pell. Mae detholwyr a ysgrifennwyd ar gyfer LAN y porth ei hun yn derbyn y ping ac yn gollwng cais y cleient, a dyna’n union yr anghymesuredd a ddechreuodd yr ymchwiliad hwn.

Archwiliwch y polisi a drafodwyd yn ogystal â’r cynigion a ffurfweddwyd, er enghraifft gyda ipsec statusall ar strongSwan neu’r gorchymyn statws cyfatebol ar gyfer eich gweithrediad. Gydag IPsec sy’n seiliedig ar bolisi gall y llwybr cyffredin bwyntio at ryngwyneb corfforol tra bo traffig cyfatebol yn dal i gael ei amgryptio, felly nid yw dyfais twnnel ar goll yn profi dim. Cymharwch y parau detholwyr â’r pwll a’r rhagddodiad a ysgrifennwyd gennych.

Gall NAT ffynhonnell generig ar y porth dorri’r cydweddiad hefyd. Os yw rheol masquerade yn ailysgrifennu ffynhonnell y cleient cyn y gwiriad polisi, nid yw’r pecyn yn edrych fel y detholwr a ysgrifennwyd gennych mwyach. Dyna un rheswm pam mae rheol masquerade eang yn atgyweiriad gwael ar gyfer ail VPN: mae’n newid pa bolisi sy’n berthnasol a pha gyfeiriad y mae’r ochr bell yn ei gofnodi. Eithrwch y traffig rydych yn bwriadu ei lwybro, neu ei gyfieithu’n fwriadol a diweddaru’r detholwyr.

Dewiswch lwybro neu gyfieithu yn fwriadol

Mae llwybro yn cadw cyfeiriad y cleient yn weladwy i’r ochr bell, felly mae cofnodion pell a rheolau fesul ffynhonnell yn parhau’n ystyrlon, ac mae’n gofyn i’r porth pell wybod y llwybr dychwelyd i’r pwll. Mae cyfieithu yn cuddio’r pwll y tu ôl i un cyfeiriad, sy’n dileu’r broblem llwybr dychwelyd ac yn dinistrio hunaniaeth pob cleient.

Dewiswch un cynllun a’i ysgrifennu, oherwydd mae angen detholwyr gwahanol a threfn firewall wahanol ar y ddau. Mae masquerade sydd ond yn hanner ei roi ar waith yn glanio rhyngddynt ac yn bodloni’r naill na’r llall. Y dewis ysgrifenedig hefyd yw’r hyn sy’n gadael i’r peiriannydd nesaf wahaniaethu rhwng nam a phenderfyniad bwriadol.

Caewch y ddolen ar anfon a’r ateb

Rhaid i’r porth anfon y protocol a’r cyrchfan rydych yn bwriadu, sy’n golygu bod anfon IP wedi’i alluogi a bod cadwyn anfon yn caniatáu’r pâr. Yna rhaid i’r ochr bell anfon atebion yn ôl trwy lwybr IPsec, a phenderfyniad llwybro ar eu porth hwy yw hynny, nid ar eich un chi. Mae’r ddau hanner yn ffurfweddiad cyffredin, ac mae’r ddau yn hawdd i’w gadael yn hanner gorffenedig. Profwch hwy ar wahân fel nad yw rheol anfon ar goll yn cael ei chamgymryd am dwnnel wedi torri.

Gwiriwch gydag un cais go iawn o gleient i raglen, gan wylio iddo groesi rhyngwyneb OpenVPN, penderfyniad IPsec a’r westeiwr pell. Archwiliwch yr ateb fel arsylwi ar wahân, oherwydd mae cais sy’n cyrraedd ac ateb na ddaw byth yn ôl yn edrych yr un fath o sedd y cleient. Mae un cais wedi’i olrhain yn werth mwy nag unrhyw nifer o bingiau o’r porth.

Cadwch awdurdodiad y cyrchfan yn gul wrth brofi, a chadarnhewch na all cleient heb y rheol gyrraedd y gwasanaeth. Nid yw llwybr wedi’i osod ynghyd ag assosiaeth sefydledig yr un peth â mynediad a roddwyd.