Χρήστης πύλης στο Access Server: δρομολόγηση του LAN υποκαταστήματος ενός πελάτη

Μπορείτε να κάνετε ping στη διεύθυνση σήραγγας ενός πελάτη OpenVPN και παρόλα αυτά να μην φτάνετε σε κανέναν κεντρικό υπολογιστή στο LAN πίσω του. Το Access Server δίνει σε αυτόν τον πελάτη μια διεύθυνση από τη δεξαμενή VPN, και μια διεύθυνση δεξαμενής είναι το μόνο πράγμα που ο διακομιστής γνωρίζει ότι του ανήκει. Το πρόθεμα του υποκαταστήματος είναι ένα ξεχωριστό γεγονός που πρέπει να δηλωθεί, και μόλις δηλωθεί, τα πακέτα χρειάζονται ακόμη έναν προωθητή στο υποκατάστημα και μια διαδρομή επιστροφής στα κεντρικά γραφεία. Μια διαδρομή που πληκτρολογείται στο λάθος σημείο μοιάζει με διόρθωση και δεν αλλάζει τίποτα.

Δύο διευθύνσεις, δύο διαφορετικές αξιώσεις ιδιοκτησίας

Όταν ένας πελάτης συνδέεται, το Access Server τού εκχωρεί μια διεύθυνση από τη διαμορφωμένη δεξαμενή VPN, για παράδειγμα 10.90.0.0/24. Αυτή η εκχώρηση είναι μίσθωση για έναν μόνο κεντρικό υπολογιστή. Τίποτα στη σύνδεση δεν λέει ότι ο ίδιος πελάτης βρίσκεται επίσης μπροστά από το 10.60.0.0/24, και ο διακομιστής δεν θα μαντέψει: ένα πρόθεμα LAN είναι προσβάσιμο μέσω συγκεκριμένου πελάτη μόνο αν κάποιος διαχειριστής το δηλώσει.

Για αυτόν τον λόγο η προσθήκη στατικής διαδρομής σε κάποιο άλλο μηχάνημα δεν λειτουργεί. Η διαδρομή λέει «στείλε το 10.60.0.0/24 σε αυτή τη διεύθυνση», αλλά αν η διεύθυνση ανήκει σε πελάτη που δεν σημάνθηκε ποτέ ως πύλη, ο διακομιστής δεν έχει λόγο να παραδώσει αυτά τα πακέτα σε αυτόν, και η στοίβα του ίδιου του πελάτη μπορεί να τα απορρίψει κατά την άφιξη. Η δήλωση και η διαδρομή είναι τα δύο μισά ενός μηχανισμού, και κανένα μισό δεν αρκεί.

Τι εγκαθιστά στην πραγματικότητα η ρύθμιση πύλης

Στο Admin Web UI η δήλωση είναι ιδιότητα χρήστη: ενεργοποιήστε την επιλογή Configure VPN gateway στον χρήστη-συνδετήρα και εισαγάγετε το πραγματικό πρόθεμα του υποκαταστήματος στο πεδίο Network on the VPN client side. Αυτός ο χρήστης αυθεντικοποιείται όπως κάθε άλλος, οπότε χρειάζεται πολιτική διαπιστευτηρίων που ταιριάζει σε συσκευή χωρίς επιτήρηση, και το προφίλ αυτόματης σύνδεσής του είναι μυστικό και όχι αρχείο ευκολίας.

Πίσω από αυτό το πλαίσιο ελέγχου, ο διακομιστής θεωρεί πλέον το πρόθεμα προσβάσιμο μέσω της διεύθυνσης δεξαμενής εκείνου του πελάτη, και η διαμόρφωση δρομολόγησης στην ενότητα Access Controls καθορίζει τι ενημερώνονται οι άλλοι πελάτες. Αυτό είναι το δεύτερο μισό: οι διαδρομές που προωθούνται στους συνηθισμένους πελάτες, και οι κανόνες πρόσβασης που επιτρέπουν κίνηση από τα δίκτυα των κεντρικών γραφείων προς τις διευθύνσεις και τα υποδίκτυα των πελατών. Ενεργοποιήστε τη δρομολόγηση για τα δίκτυα που πρέπει να φτάνουν στο υποκατάστημα και κρατήστε τη λίστα των επιτρεπόμενων δικτύων όσο σύντομη επιτρέπει ο σχεδιασμός.

Μια οδηγία διαμόρφωσης τύπου Community που επικολλάται σε ένα παραγόμενο αρχείο δεν συμμετέχει σε αυτό το μοντέλο. Το προϊόν κατέχει τον πίνακα δρομολόγησης που προωθεί, και μια γραμμή που επεξεργάστηκε με το χέρι είτε αντικαθίσταται στην επόμενη αναγέννηση είτε αγνοείται από τα στοιχεία που τη χρειάζονται.

Ολοκληρώστε τις διαδρομές επιστροφής και των δύο δικτύων

Πάρτε ένα συγκεκριμένο σχέδιο: κεντρικά γραφεία 10.40.0.0/24, υποκατάστημα 10.60.0.0/24, δεξαμενή VPN 10.90.0.0/24, και το Access Server προσβάσιμο σε μια ιδιωτική διεύθυνση στην πλευρά των κεντρικών γραφείων. Ο δρομολογητής των κεντρικών γραφείων χρειάζεται διαδρομές για το πρόθεμα του υποκαταστήματος και για τη δεξαμενή VPN, και οι δύο να δείχνουν στο Access Server. Χωρίς αυτές, η σήραγγα μεταφέρει το αίτημα και η απάντηση φεύγει από την προεπιλεγμένη πύλη, κάτι που παράγει την κλασική ημιανοιχτή σύνδεση.

Στο υποκατάστημα, ο συνδετήρας πρέπει να προωθεί πακέτα που δεν απευθύνονται στον ίδιο. Αυτό σημαίνει προώθηση IP στο λειτουργικό σύστημα του συνδετήρα συν μια άδεια προώθησης περιορισμένη στις διεπαφές σήραγγας και LAN· στο Linux αυτό είναι net.ipv4.ip_forward=1 μαζί με τους κανόνες της αλυσίδας forward, στα Windows είναι η δρομολόγηση και απομακρυσμένη πρόσβαση με την ίδια πρόθεση. Στη συνέχεια, οι κεντρικοί υπολογιστές του υποκαταστήματος χρειάζονται διαδρομή επιστροφής: είτε ο συνδετήρας είναι η προεπιλεγμένη πύλη τους, είτε η υπάρχουσα πύλη μεταφέρει συγκεκριμένες διαδρομές για τα προθέματα των κεντρικών γραφείων και της δεξαμενής.

Ο πίνακας δρομολόγησης του ίδιου του συνδετήρα δεν επαναδιαμορφώνει κάθε κεντρικό υπολογιστή στο LAN του υποκαταστήματος. Αν οι κεντρικοί υπολογιστές δείχνουν σε άλλον δρομολογητή, εκείνος ο δρομολογητής είναι το σημείο όπου ανήκουν οι διαδρομές επιστροφής, και πρέπει επίσης να αποδέχεται ότι η διεύθυνση προέλευσης που βλέπει δεν είναι γείτονας στο τοπικό υποδίκτυο.

Διαβάστε μια αποτυχία ως διαδρομή, όχι ως άδεια

Δοκιμάστε με σταθερή σειρά. Πρώτα μια επιτρεπόμενη υπηρεσία από το Access Server προς έναν κεντρικό υπολογιστή του υποκαταστήματος, έπειτα την ίδια υπηρεσία από έναν συνηθισμένο κεντρικό υπολογιστή των κεντρικών γραφείων, και μετά την αντίστροφη κατεύθυνση αν το επιτρέπει η πολιτική. Αν η πρώτη δοκιμή περάσει και η δεύτερη αποτύχει, το πρόβλημα είναι στις προωθούμενες διαδρομές ή στους κανόνες πρόσβασης. Αν περάσουν και οι δύο αλλά οι απαντήσεις δεν φτάνουν ποτέ, εξετάστε την προώθηση στο υποκατάστημα και τη διαδρομή επιστροφής στην πλευρά των κεντρικών γραφείων.

Το τείχος προστασίας του κεντρικού υπολογιστή είναι ο επόμενος ύποπτος, γιατί με δρομολογημένη πρόσβαση ο προορισμός βλέπει ως πηγή μια διεύθυνση των κεντρικών γραφείων ή της δεξαμενής. Ένας κανόνας γραμμένος για το τοπικό υποδίκτυο δεν θα ταιριάξει, και το πακέτο απορρίπτεται αφού η δρομολόγηση λειτούργησε τέλεια.

Δύο σχέδια χρειάζονται περισσότερα από το μοτίβο αυτού του άρθρου. Τα επικαλυπτόμενα προθέματα μεταξύ τοποθεσιών κάνουν τον προορισμό ασαφή και απαιτούν επαναρίθμηση ή μετάφραση, και ένα συσταδοποιημένο Access Server απαιτεί κάθε κόμβος να έχει λειτουργική διαδρομή προς τον συνδετήρα του υποκαταστήματος, αντί να κρατά τη διαδρομή ένας μόνο κόμβος. Εφαρμόστε τις αλλαγές μέσω της κανονικής διαδρομής αποθήκευσης και ενημέρωσης του προϊόντος, επανασυνδέστε τον συνδετήρα και επαληθεύστε ξανά από τα δύο άκρα· η πλήρης επανεκκίνηση κάθε μηχανήματος δεν είναι μέρος της διαδικασίας.

Το σεμινάριο site-to-site του Access Server παραθέτει τις ίδιες ρυθμίσεις με τη σειρά του προϊόντος, και αξίζει να το ακολουθήσετε μία φορά πριν προσαρμόσετε τον σχεδιασμό στα δικά σας προθέματα.