pfSense OpenVPN: πρόσβαση σε δίκτυο πίσω από άλλο δρομολογητή

Ο φορητός σας υπολογιστής φτάνει στο LAN του pfSense μέσω του VPN και ακόμη αποτυγχάνει να φτάσει σε μια υπηρεσία δύο άλματα πιο μέσα, και η διαφορά είναι μία απόφαση δρομολόγησης ανά ιδιοκτήτη. Τρεις συσκευές πρέπει να συμφωνήσουν πριν ένα πακέτο ολοκληρώσει τη διαδρομή του μετ' επιστροφής: ο πελάτης, το τείχος προστασίας και ο δρομολογητής που κατέχει πραγματικά το δίκτυο προορισμού. Αν λείπει οποιοδήποτε από αυτά, το σύμπτωμα φαίνεται ίδιο.

Ακολουθήστε ένα πακέτο μέσα από αυτές τις τρεις αποφάσεις πριν αλλάξετε έναν κανόνα, γιατί κάθε ιδιοκτήτης έχει διαφορετικό έλεγχο και διαφορετικό τρόπο αποτυχίας.

Ένα πακέτο, τρεις αποφάσεις δρομολόγησης

Ο πελάτης αποφασίζει αν ο προορισμός ανήκει στη σήραγγα, και μπορεί να αποφασίσει μόνο από όσα γνωρίζει: μια προωθημένη διαδρομή, μια τοπική διαδρομή ή μια προεπιλεγμένη που καλύπτει ήδη τα πάντα. Το pfSense αποφασίζει πού θα στείλει το πακέτο στη συνέχεια, που για ένα δίκτυο πίσω από άλλο δρομολογητή σημαίνει στατική διαδρομή μέσω προσβάσιμης πύλης στη σωστή διεπαφή. Ο κατώτερος δρομολογητής αποφασίζει αν γνωρίζει μια διαδρομή επιστροφής στην πισίνα του VPN, και αν δεν γνωρίζει, η απάντηση απορρίπτεται ή στέλνεται κάπου άχρηστα. Κάθε απόφαση είναι ανεξάρτητη από τις άλλες δύο.

Η αποτυχία οποιασδήποτε από αυτές παράγει την ίδια αναφορά χρήστη. Γι' αυτό η σειρά αποσφαλμάτωσης μετράει περισσότερο από τα εργαλεία.

Δώστε στον πελάτη ένα πρόθεμα, όχι μια εικασία

Σε έναν διακομιστή pfSense SSL/TLS με δίκτυο σήραγγας IPv4 μεγαλύτερο από /30, το πεδίο IPv4 Local network(s) διανέμει διαδρομές στους πελάτες όταν συνδέονται. Προσθέστε εκεί το κατώτερο πρόθεμα αντί να βασίζεστε στον πελάτη να επινοήσει ένα. Στη συνέχεια διαβάστε τον πραγματικό πίνακα του πελάτη μετά τη σύνδεση, γιατί ένα προφίλ με route-nopull ή ένα φίλτρο διαδρομών μπορεί να αγνοήσει ό,τι έστειλε ο διακομιστής. Ο διακομιστής μπορεί να είναι απολύτως σωστός ενώ ο πελάτης δεν εγκαθιστά τίποτα.

Άλλες λειτουργίες διακομιστή και τοπολογίες έχουν διαφορετικά όρια, και μια πολιτική ανά πελάτη ή ανά σύνδεση μπορεί να αλλάξει τι λαμβάνει ένας συγκεκριμένος πελάτης. Επαληθεύστε στον πελάτη που έχει σημασία, όχι σε όποιον τύχαινε να δοκιμάσετε πρώτο.

Στρέψτε το pfSense στον εσωτερικό δρομολογητή

Μια στατική διαδρομή στο pfSense χρειάζεται μια πύλη ορισμένη και προσβάσιμη, και η διεπαφή που επιλέγεται για αυτή την πύλη πρέπει να είναι εκείνη που φτάνει πραγματικά σε αυτήν, όπως περιγράφει ο οδηγός στατικών διαδρομών της Netgate. Σε ένα ενδεικτικό σχήμα ο σύνδεσμος διέλευσης είναι 192.168.77.1 στο τείχος προστασίας και 192.168.77.2 στον εσωτερικό δρομολογητή, με το δίκτυο υπηρεσιών στο 172.16.30.0/25 πίσω του. Η διαδρομή τότε ονομάζει το πρόθεμα και το επόμενο άλμα, όχι τη διεύθυνση της υπηρεσίας. Η χρήση μιας διεύθυνσης από το απομακρυσμένο δίκτυο ως πύλης είναι ένας συνηθισμένος τρόπος να φτιαχτεί μια διαδρομή που φαίνεται σωστή και δεν προωθεί πουθενά.

Η εκχώρηση ονόματος σε μια διεπαφή δεν περιγράφει τα δίκτυα πέρα από αυτήν. Η στατική διαδρομή είναι αυτή η περιγραφή.

Η μακρινή πλευρά πρέπει να γνωρίζει την πισίνα

Ο κατώτερος δρομολογητής χρειάζεται μια διαδρομή επιστροφής για την πισίνα, σε αυτό το παράδειγμα 10.55.0.0/24 μέσω 192.168.77.1, εκτός αν μια προεπιλεγμένη διαδρομή ή ένα δυναμικό πρωτόκολλο παρέχει ήδη μία. Η πύλη του ίδιου του κεντρικού υπολογιστή της υπηρεσίας πρέπει να οδηγεί προς αυτόν τον δρομολογητή, κάτι που συνήθως ισχύει όταν ο δρομολογητής είναι η προεπιλεγμένη πύλη του και δεν ισχύει όταν ο υπολογιστής ρυθμίστηκε χειροκίνητα. Η δρομολόγηση πολιτικής στο τείχος προστασίας μπορεί επίσης να παρακάμψει τον πίνακα για συγκεκριμένη κίνηση, οπότε ελέγξτε αν ένας κανόνας επιλέγει διαφορετική πύλη πριν συμπεράνετε ότι η διαδρομή είναι λάθος.

Δεν απαιτείται μετάφραση για αυτόν τον σχεδιασμό, και το να μένει ορατή η διεύθυνση προέλευσης του πελάτη επιτρέπει στο κατώτερο δίκτυο να εφαρμόσει τη δική του πολιτική.

Για την αποδοχή, ακολουθήστε ένα νέο αίτημα μέσα από την είσοδο της σήραγγας, την εσωτερική έξοδο του τείχους προστασίας και την απάντηση από τον προορισμό. Αν αντίθετα χρησιμοποιείται σκόπιμα μετάφραση, καταγράψτε ποια πηγή βλέπει το κατώτερο δίκτυο και πώς αναμένεται να επιστρέψει η απάντηση.

Αποθηκεύστε το σχέδιο των τριών ιδιοκτητών δίπλα στην επιτρεπόμενη εφαρμογή, ώστε ο επόμενος διαχειριστής να μπορεί να ανακατασκευάσει τη διαδρομή αντί να την ανακαλύψει ξανά.