Γιατί οι πελάτες OpenVPN χάνουν τους επιλογείς IPsec της πύλης

Κάντε ping σε έναν κεντρικό υπολογιστή πίσω από την απομακρυσμένη σήραγγα IPsec από την πύλη και απαντά καθαρά, οπότε η σήραγγα φαίνεται υγιής και το εισιτήριο προχωρά. Έπειτα ένας συνδεδεμένος πελάτης δοκιμάζει τον ίδιο κεντρικό υπολογιστή και δεν παίρνει τίποτα πίσω. Εκείνο το ping δεν ήταν ποτέ απόδειξη για τη ροή του πελάτη, γιατί έφυγε με την δική της διεύθυνση προέλευσης της πύλης και ταίριαξε με διαφορετικό επιλογέα IPsec. Το να καταλάβουμε γιατί οι δύο περιπτώσεις αποκλίνουν είναι το μεγαλύτερο μέρος της διόρθωσης.

Το ping της πύλης δοκιμάζει μια ροή που ο πελάτης σας δεν χρησιμοποιεί ποτέ

Η διεύθυνση προέλευσης αποφασίζει ποια πολιτική εφαρμόζεται. Ένα πακέτο που παράγεται στην πύλη φεύγει με διεύθυνση από το τοπικό της LAN ή από το άκρο της σήραγγας, και η πολιτική που του ταιριάζει γράφτηκε ακριβώς για εκείνη την περίπτωση. Το πακέτο ενός πελάτη φτάνει στη διεπαφή OpenVPN με διεύθυνση από τη δεξαμενή πελατών, που είναι εντελώς διαφορετικός επιλογέας.

Γι’ αυτό η αποτυχία μοιάζει με πρόβλημα δρομολόγησης ενώ στην πραγματικότητα είναι πρόβλημα εύρους πολιτικής. Η προσβασιμότητα από την πύλη αποδεικνύει ότι ο ομότιμος είναι ενεργός και ότι οι προτάσεις διαπραγματεύτηκαν, και δεν αποδεικνύει τίποτα για το αν η δεξαμενή προστατεύεται.

Στείλτε με push το απομακρυσμένο πρόθεμα που χρειάζεται πραγματικά η εφαρμογή

Πάρτε το ενδεικτικό ζεύγος 10.8.0.0/24 για συνδεδεμένους πελάτες και 172.30.239.0/25 για το προστατευμένο απομακρυσμένο δίκτυο. Αυτό που χρειάζεται ένας πελάτης είναι διαδρομή προς το δεύτερο πρόθεμα, όχι προς τη LAN της πύλης και όχι προς κάποια άλλη διεύθυνση σήραγγας. Μια διαδρομή που στέλνεται με push στη δεξαμενή είναι αυτό που κάνει τον πελάτη να παραδώσει καθόλου αυτή την κίνηση στην πύλη. Χωρίς αυτή, το πακέτο δεν φτάνει ποτέ στην απόφαση πολιτικής που αποσφαλματώνετε.

Σε έναν διακομιστή Community που δέχεται διαδρομές push, η οδηγία παίρνει το πραγματικό mask: push "route 172.30.239.0 255.255.255.128". Το Access Server ρυθμίζει τον ίδιο προορισμό μέσω των ρυθμίσεων ιδιωτικού δικτύου ή κανόνων πρόσβασης της εγκατεστημένης έκδοσης, με τη λειτουργία δρομολόγησης ή μετάφρασης να επιλέγεται σκόπιμα. Το να επεξεργάζεστε παραγόμενες αλυσίδες τείχους προστασίας αντί για τη ρύθμιση που τις κατέχει είναι ο τρόπος με τον οποίο μια λειτουργική εγκατάσταση γίνεται αδύνατο να αναπαραχθεί.

Μετά τη σύνδεση, διαβάστε τον πίνακα δρομολόγησης του πελάτη και όχι την πρόθεση του διακομιστή. Μια διαδρομή που καλύπτει μόνο τη δεξαμενή σημαίνει ότι το push δεν έφτασε, και μια προεπιλεγμένη διαδρομή μέσω της σήραγγας είναι ευρύτερη από αυτή την απαίτηση και θα σας εκπλήξει αργότερα. Ελέγξτε το mask καθώς και το πρόθεμα, γιατί ένα /25 που στέλνεται ως /24 οδηγεί την κίνηση γειτονικών διευθύνσεων σε διαδρομή που δεν μπορεί να τη μεταφέρει. Στη συνέχεια επιβεβαιώστε ότι ο πελάτης επέλεξε τη διεπαφή σήραγγας για αυτόν τον προορισμό.

Κάντε τους επιλογείς να περιλαμβάνουν τη δεξαμενή πελατών

Για δρομολογούμενη πρόσβαση που διατηρεί τις διευθύνσεις των πελατών, η πολιτική IPsec πρέπει να προστατεύει την κίνηση μεταξύ της δεξαμενής και του απομακρυσμένου προθέματος. Επιλογείς γραμμένοι για τη δική της LAN της πύλης δέχονται το ping και απορρίπτουν το αίτημα του πελάτη, και αυτή είναι ακριβώς η ασυμμετρία που ξεκίνησε αυτή την έρευνα.

Εξετάστε τη διαπραγματευμένη πολιτική καθώς και τις ρυθμισμένες προτάσεις, για παράδειγμα με ipsec statusall στο strongSwan ή την ισοδύναμη εντολή κατάστασης για την υλοποίησή σας. Με IPsec βασισμένο σε πολιτική, η συνηθισμένη διαδρομή μπορεί να δείχνει σε φυσική διεπαφή ενώ η ταιριαστή κίνηση εξακολουθεί να κρυπτογραφείται, οπότε μια απούσα συσκευή σήραγγας δεν αποδεικνύει τίποτα. Συγκρίνετε τα ζεύγη επιλογέων με τη δεξαμενή και το πρόθεμα που σημειώσατε.

Το γενικό NAT προέλευσης στην πύλη μπορεί επίσης να σπάσει το ταίριασμα. Αν ένας κανόνας masquerade ξαναγράψει την προέλευση του πελάτη πριν από τον έλεγχο πολιτικής, το πακέτο δεν μοιάζει πια με τον επιλογέα που γράψατε. Αυτός είναι ένας λόγος που ένας ευρύς κανόνας masquerade είναι κακή λύση για δεύτερο VPN: αλλάζει ποια πολιτική εφαρμόζεται και ποια διεύθυνση καταγράφει η απομακρυσμένη πλευρά. Εξαιρέστε την κίνηση που σκοπεύετε να δρομολογήσετε, ή μεταφράστε την σκόπιμα και ενημερώστε τους επιλογείς.

Διαλέξτε δρομολόγηση ή μετάφραση επίτηδες

Η δρομολόγηση κρατά τη διεύθυνση του πελάτη ορατή στην απομακρυσμένη πλευρά, ώστε τα απομακρυσμένα αρχεία καταγραφής και οι κανόνες ανά προέλευση να παραμένουν χρήσιμοι, και απαιτεί η απομακρυσμένη πύλη να γνωρίζει τη διαδρομή επιστροφής προς τη δεξαμενή. Η μετάφραση κρύβει τη δεξαμενή πίσω από μία διεύθυνση, κάτι που εξαλείφει το πρόβλημα της διαδρομής επιστροφής και καταστρέφει την ταυτότητα ανά πελάτη.

Διαλέξτε ένα σχέδιο και γράψτε το, γιατί τα δύο χρειάζονται διαφορετικούς επιλογείς και διαφορετική σειρά τείχους προστασίας. Ένα μισοεφαρμοσμένο masquerade προσγειώνεται ανάμεσά τους και δεν ικανοποιεί κανένα. Η γραπτή επιλογή είναι επίσης αυτό που επιτρέπει στον επόμενο μηχανικό να ξεχωρίσει ένα σφάλμα από μια σκόπιμη απόφαση.

Κλείστε τον κύκλο στην προώθηση και την απάντηση

Η πύλη πρέπει να προωθεί το πρωτόκολλο και τον προορισμό που σκοπεύετε, που σημαίνει ενεργή προώθηση IP και αλυσίδα προώθησης που επιτρέπει το ζεύγος. Στη συνέχεια η απομακρυσμένη πλευρά πρέπει να στέλνει τις απαντήσεις πίσω μέσω της διαδρομής IPsec, και αυτό είναι απόφαση δρομολόγησης στη δική τους πύλη και όχι στη δική σας. Και τα δύο μισά είναι συνηθισμένη ρύθμιση, και τα δύο μένουν εύκολα μισοτελειωμένα. Δοκιμάστε τα χωριστά ώστε ένας κανόνας προώθησης που λείπει να μην παρεξηγηθεί ως χαλασμένη σήραγγα.

Επαληθεύστε με ένα πραγματικό αίτημα από πελάτη προς εφαρμογή, παρακολουθώντας το να διασχίζει τη διεπαφή OpenVPN, την απόφαση IPsec και τον απομακρυσμένο κεντρικό υπολογιστή. Εξετάστε την απάντηση ως ξεχωριστή παρατήρηση, γιατί ένα αίτημα που φτάνει και μια απάντηση που δεν επιστρέφει ποτέ φαίνονται ίδια από τη θέση του πελάτη. Ένα ιχνηλατημένο αίτημα αξίζει περισσότερο από οποιονδήποτε αριθμό ping από την πύλη.

Κρατήστε την εξουσιοδότηση προορισμού στενή όσο δοκιμάζετε, και επιβεβαιώστε ότι ένας πελάτης χωρίς τον κανόνα δεν μπορεί να φτάσει στην υπηρεσία. Μια εγκατεστημένη διαδρομή μαζί με έναν εδραιωμένο συσχετισμό δεν είναι το ίδιο με παραχωρημένη πρόσβαση.