pfSense fel gweinydd a chleient VPN: dau lwybr, un llwybrydd

Gall un offeryn wynebu dau gyfeiriad ar unwaith: mae defnyddwyr symudol yn cysylltu i mewn, ac mae’r un blwch yn cysylltu allan at ddarparwr allanfa fel bod y traffig a ddewiswyd yn gadael drwy rwydwaith arall. Mae galluogi’r ddau wasanaeth yn cymryd munudau; mae gwneud iddynt gydfyw yn gofyn am ddyluniad, oherwydd mae’r ail rôl yn ailysgrifennu’r tabl llwybro y mae’r gyntaf yn dibynnu arno. Mae tair amod yn penderfynu a yw’r trefniant yn gweithio, sef a yw’r gwasanaeth i mewn yn cadw ei lwybr dychwelyd ei hun, a all y twnnel allan gyrraedd ei gymar o hyd, ac a yw’r traffig y bwriedech ei anfon ymlaen yn cael ei ddewis ar gyfer yr allanfa. Camgymerwch un ac fe gewch ddau dwnnel sy’n adrodd eu bod wedi cysylltu tra nad oes dim defnyddiol yn croesi rhyngddynt. Mae’r gwiriadau isod yn sefydlu pob amod yn y drefn y mae’r methiannau yn ymddangos ynddi fel arfer.

Enwch y ddau rôl cyn cyffwrdd ag unrhyw osodiad

Nodwch bedair ffaith ar gyfer pob achos: ei gymar pell, ei ddeunydd dilysu, y pwll cyfeiriadau y mae’n ei ddosbarthu, a’r rhwydweithiau y tu ôl iddo. Mae’r ddau achos yn wrthrychau ar wahân ar yr offeryn ac fe ddylent aros ar wahân yn eich nodiadau hefyd. Daw bron pob symptom dryslyd yn ddiweddarach o gymysgu eu gwerthoedd, a dau achos sy’n rhannu un set o nodiadau yw’r ffordd y mae’r pwll anghywir yn gorffen yn y maes anghywir.

Mae angen rhwydwaith twnnel ar y gwasanaeth i mewn nad yw’n gorgyffwrdd â chyfeiriadau’r twnnel allan nac ag unrhyw rwydwaith preifat y mae’r offeryn yn ei lwybro. Gorgyffwrdd yw’r unig gamgymeriad sy’n cynhyrchu symptomau yn y ddau rôl ar unwaith, ac mae’n llawer rhatach ei ddal ar bapur. Cymharwch y ddau bwll a phob rhwydwaith preifat wedi’i lwybro mewn un man cyn ffurfweddu’r naill wasanaeth neu’r llall.

Nid yw caledwedd a rennir yn golygu cyfrifoldebau a rennir, ac ni ddylai tystysgrif cleient o’r pwll mynediad pell fod yn ddefnyddiadwy yn erbyn y darparwr allanfa. Mae deunydd ar wahân hefyd yn troi dirymu yn benderfyniad lleol yn lle digwyddiad ar draws y fflyd.

Cadwch atebion y gweinydd ar lwybr y WAN

Yr atebion y mae’r offeryn yn eu cynhyrchu ei hun yw aberth gyntaf llwybr diofyn diofal. Pan fydd pecyn amgáu defnyddiwr symudol yn cyrraedd, traffig a gychwynnwyd yn lleol yw’r ateb, ac mae’n rhaid iddo adael drwy’r rhyngwyneb y daeth y defnyddiwr hwnnw drwyddo. Os yw’r cleient allan wedi gosod llwybr diofyn sy’n ei ddal, mae’r ateb yn mynd i’r twnnel anghywir ac mae’r sesiwn yn stopio tra bod y gwasanaeth yn dal i edrych yn iach.

Nid oes un blwch ticio yn setlo hyn, oherwydd y penderfyniad yw pa draffig y caiff y cleient allan ei ddal. Naill ai peidiwch â thynnu unrhyw lwybrau a llywio dim ond yr hyn a ddewiswch, neu dynnu llwybrau ac ychwanegu’r eithriadau sy’n cadw gwasanaethau’r offeryn ei hun yn gweithio. Nodwch y dewis wrth ymyl yr achos, neu bydd y person nesaf yn tybio’r llall.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

Darllenwch y tabl llwybro drwy’r cyfateb hiraf yn hytrach na thrwy’r drefn y gwnaethoch ffurfweddu unrhyw beth. Y cwestiwn yw pa gofnod sy’n ennill ar gyfer cyfeiriad cymar yr allanfa a pha gofnod sy’n ennill ar gyfer ateb y gwasanaeth i mewn, a gall y ddau ateb hynny fod yn wahanol.

Peidiwch â gadael i’r twnnel allan fwyta ei ben ei hun

Rhaid i’r cleient allan gyrraedd cyfeiriad cyhoeddus ei gymar er mwyn sefydlu’r twnnel o gwbl. Os yw’r cyfeiriad hwnnw ei hun yn cael ei lwybro i’r twnnel, mae’r cleient yn hela ei gynffon ei hun: nid yw’r cludiant byth yn codi, neu mae’n codi ac yna’n disgyn yr eiliad y mae’r llwybr yn gosod. Mae’r log yn edrych fel goramser dilysu yn hytrach na nam llwybro, a dyna pam mae’r llwybr yn haeddu’r prawf cyntaf.

Gwiriwch y llwybr cyn y cyfrifoldebau ac unwaith eto ar ôl i’r twnnel godi, oherwydd gall cofnod fod yn gywir wrth gychwyn ac yn anghywir funud yn ddiweddarach. Rhaid i gyfeiriad y cymar bwyntio at lwybr arferol y WAN, byth at y ddyfais twnnel. Unwaith y bydd y cludiant yn sefydlog, mae’r cwestiwn diddorol yn symud i draffig a anfonwyd ymlaen, sef y penderfyniad nesaf.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

Dewiswch pa ddefnyddwyr sy’n cael yr allanfa

Mae polisi ffynhonnell yn perthyn i’r man mynediad lle mae traffig yn dod i mewn i’r offeryn, felly dewiswch y pwll mynediad pell, neu humaniaethau culach y tu mewn iddo. Cadwch y cyrchfannau preifat a’r eithriadau rheoli na ddylid byth eu hanfon at yr allanfa, a rhowch y rheolau hynny o flaen yr un eang. Yna mae angen cyfieithiad ei hun neu drefniant dychwelyd wedi’i lwybro ar lwybr yr allanfa, sydd i’r rhan fwyaf o ddyluniadau yn golygu NAT allan ar y rhyngwyneb allanfa yn cwmpasu’r pwll. Nid yw cyfieithu yn dewis allanfa; mae’n ailysgrifennu dim ond yr hyn sydd eisoes wedi gadael, felly nid yw rheol NAT ar WAN ddiangen yn newid dim yn y dewis.

Cadarnhewch fod y pen pell yn caniatáu traffig a anfonwyd ymlaen o’r dyluniad hwn, oherwydd mae rhai darparwyr yn gwneud a rhai ddim. Mae’r gwahaniaeth yn ymddangos fel twnnel sy’n cysylltu ac yn cario dim, sy’n hawdd ei ddarllen fel nam lleol. Profwch y tri ffrwd ar wahân, oherwydd maent yn methu’n annibynnol a dau o dri yw dyluniad hanner-cod.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

Y gorchymyn cyntaf yw cysylltiad allanol y defnyddiwr symudol, ac mae’n gweithio pan fydd y cleient yn adrodd bod y dilyniant cychwyn wedi’i gwblhau. Dylai’r ail, a redir o’r gliniadur cysylltiedig hwnnw, adrodd cyfeiriad y darparwr allanfa yn hytrach na’ch cyfeiriad WAN. Mae’r trydydd yn rhedeg ar yr offeryn wedi’i rwymo i gyfeiriad o’r pwll, ac mae’n profi’r polisi ffynhonnell ar gyfer traffig a anfonwyd ymlaen heb gynnwys defnyddiwr pell o gwbl. Os yw’n ateb o’r WAN yn lle hynny, ni chyfatebodd y polisi, ac nid yw unrhyw faint o olygu NAT yn trwsio problem dewis.

Penderfynwch beth sy’n digwydd pan fydd yr allanfa yn methu

Nodwch yr ymddygiad methu cyn iddo ddigwydd: pan fydd y twnnel allan yn disgyn, a yw defnyddwyr yn cwympo’n ôl i’r WAN arferol neu a ydynt yn cael eu blocio nes bod yr allanfa yn dychwelyd? Mae’r ddau ateb yn amddiffynadwy, ac ni fydd yr offeryn yn dewis drosoch. Nid yw llwybr a dynnwyd na pholisi sy’n pwyntio at giât farw yn cynhyrchu canlyniad cwbl flociedig yn awtomatig. Os ydych am flocio, rhaid i’r polisi ddweud hynny’n benodol, a rhaid ei brofi drwy dynnu’r allanfa ymaith yn hytrach na drwy resymu amdani. Os ydych am gwympo’n ôl, cyhoeddwch hynny i ddefnyddwyr, oherwydd y traffig sy’n cymryd y llwybr arferol yn ddistaw yw’n union y traffig y credai rhywun ei fod wedi’i gwmpasu.

Analluogwch achos y cleient, gwyliwch beth y gall defnyddiwr cysylltiedig ei gyrraedd o hyd, yna ei gychwyn eto. Cais sy’n goramser yw’r canlyniad cwbl flociedig y gofynnoch amdano; un sy’n ateb â chyfeiriad y WAN yw’r cwymp yn ôl na wnaethoch ei ddogfennu. Ailadroddwch y gwiriad ar gyfer IPv6 ac ar gyfer DNS, oherwydd nid yw polisi a ysgrifennwyd ar gyfer IPv4 yn dweud dim am draffig AAAA ac mae datryswr a wthiwyd gan y naill dwnnel neu’r llall yn ateb o ble bynnag y mae’r ymholiad yn gadael mewn gwirionedd.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

Rysáit Netgate ar gyfer OpenVPN wedi’i lwybro yn dangos sut mae polisi ffynhonnell, neilltuo rhyngwyneb a chyfieithu allan yn ffitio gyda’i gilydd, a’i gwmpas safle-i-safle yw’r rhan na ddylid ei chopïo’n gyfan. Yr hyn na fydd yn ei ddweud wrthych yw pa un o’r tair amod uchod y mae eich dyluniad eich hun eisoes wedi’i thorri.