pfSense OpenVPN: cyrraedd rhwydwaith y tu ôl i rwter arall

Mae eich gliniadur yn cyrraedd LAN pfSense dros y VPN ac yn dal i fethu cyrraedd gwasanaeth dau gam ymhellach i mewn, a’r gwahaniaeth yw un penderfyniad llwybro fesul perchennog. Rhaid i dair dyfais gytuno cyn i becyn gwblhau ei daith yno ac yn ôl: y cleient, y mur tân a’r rwter sy’n berchen ar y rhwydwaith cyrchfan mewn gwirionedd. Collwch unrhyw un ohonynt a bydd yr arwydd yn edrych yr un fath.

Dilynwch un pecyn drwy’r tri phenderfyniad hyn cyn newid rheol, oherwydd mae gan bob perchennog reolaeth wahanol a dull methu gwahanol.

Un pecyn, tri phenderfyniad llwybro

Mae’r cleient yn penderfynu a yw’r gyrchfan yn perthyn i’r tiwnel, a dim ond o’r hyn y mae’n ei wybod y gall benderfynu: llwybr wedi’i wthio, llwybr lleol, neu lwybr diofyn sy’n cwmpasu popeth yn barod. Mae pfSense yn penderfynu ble i anfon y pecyn nesaf, sydd ar gyfer rhwydwaith y tu ôl i rwter arall yn golygu llwybr statig trwy giât gyrraeddadwy ar y rhyngwyneb cywir. Mae’r rwter is i lawr yn penderfynu a yw’n gwybod ffordd yn ôl i bwll y VPN, ac os nad yw, mae’r ateb yn cael ei ollwng neu ei anfon i rywle diwerth. Mae pob penderfyniad yn annibynnol ar y ddau arall.

Mae methiant unrhyw un ohonynt yn cynhyrchu’r un adroddiad defnyddiwr. Dyna pam mae trefn dadfygio yn bwysicach na’r offer.

Rhowch ragddodiad i’r cleient, nid dyfaliad

Ar weinydd pfSense SSL/TLS gyda rhwydwaith tiwnel IPv4 yn fwy na /30, mae’r maes IPv4 Local network(s) yn dosbarthu llwybrau i gleientiaid pan fyddant yn cysylltu. Ychwanegwch y rhagddodiad is i lawr yno yn lle dibynnu ar y cleient i ffugio un. Yna darllenwch dabl gwirioneddol y cleient ar ôl cysylltu, oherwydd gall proffil gyda route-nopull neu hidlydd llwybr anwybyddu’r hyn a anfonodd y gweinydd. Gall y gweinydd fod yn hollol gywir tra nad yw’r cleient yn gosod unrhyw beth.

Mae gan foddau gweinydd a thopolegau eraill derfynau gwahanol, a gall polisi fesul cleient neu gysylltiad newid yr hyn y mae cleient penodol yn ei dderbyn. Dilyswch ar y cleient sy’n bwysig yn hytrach nag ar ba un bynnag y digwyddodd i chi ei brofi gyntaf.

Pwyntiwch pfSense at y rwter mewnol

Mae angen giât a ddiffinnir ac sy’n gyrraeddadwy ar lwybr statig yn pfSense, a rhaid i’r rhyngwyneb a ddewiswyd ar gyfer y giât honno fod yr un sy’n cyrraedd yno mewn gwirionedd, fel y mae canllaw llwybrau statig Netgate yn ei ddisgrifio. Mewn cynllun enghreifftiol mae’r cyswllt tramwy yn 192.168.77.1 ar y mur tân ac yn 192.168.77.2 ar y rwter mewnol, gyda’r rhwydwaith gwasanaeth yn 172.16.30.0/25 y tu ôl iddo. Yna mae’r llwybr yn enwi’r rhagddodiad a’r cam nesaf, nid cyfeiriad y gwasanaeth. Mae defnyddio cyfeiriad o’r rhwydwaith pell fel giât yn ffordd gyffredin o adeiladu llwybr sy’n edrych yn gywir ac nad yw’n anfon i unman.

Nid yw rhoi enw i ryngwyneb yn disgrifio’r rhwydweithiau y tu hwnt iddo. Y llwybr statig yw’r disgrifiad hwnnw.

Rhaid i’r ochr bell wybod y pwll

Mae angen llwybr dychwelyd ar gyfer y pwll ar y rwter is i lawr, yn yr enghraifft hon 10.55.0.0/24 trwy 192.168.77.1, oni bai bod llwybr diofyn neu brotocol deinamig eisoes yn darparu un. Rhaid i giât y gwesteiwr gwasanaeth ei hun arwain tuag at y rwter hwnnw, sy’n wir fel arfer pan mai’r rwter yw ei giât ddiofyn ac yn anwir pan gafodd y gwesteiwr ei ffurfweddu â llaw. Gall llwybro polisi ar y mur tân hefyd ddiystyru’r tabl ar gyfer traffig penodol, felly gwiriwch a yw rheol yn dewis giât wahanol cyn dod i’r casgliad bod y llwybr yn anghywir.

Nid oes angen cyfieithu ar gyfer y cynllun hwn, ac mae cadw cyfeiriad ffynhonnell y cleient yn weladwy yn caniatáu i’r rhwydwaith is i lawr gymhwyso ei bolisi ei hun.

Ar gyfer derbyn, dilynwch un cais newydd trwy fewnbwn y tiwnel, allbwn mewnol y mur tân ac ateb y gyrchfan. Os defnyddir cyfieithu yn fwriadol yn lle hynny, cofnodwch pa ffynhonnell y mae’r rhwydwaith is i lawr yn ei gweld a sut y disgwylir i’r ateb ddychwelyd.

Cadwch y cynllun tri pherchennog ochr yn ochr â’r cais a ganiateir, fel y gall y gweinyddwr nesaf ail-greu’r llwybr yn lle ei ailddarganfod.