Access Serveri lüüsikasutaja: kliendi harukontori LAN-i marsruutimine

Saate pingida OpenVPN kliendi tunneliaadressi ja ikkagi mitte jõuda ühegi hostini selle taga olevas LAN-is. Access Server annab kliendile aadressi VPN-i poolist ja pooli aadress on kõik, mida server enda omandiks peab. Haru eesliide on eraldi fakt, mis tuleb deklareerida, ja isegi siis vajab haru edastajat ning peakontor tagasiteed. Valesse kohta kirjutatud marsruut näeb välja nagu lahendus ega muuda midagi.

Kaks aadressi, kaks erinevat omandiõigust

Kliendi ühendamisel omistab Access Server talle aadressi konfigureeritud VPN-i poolist, näiteks 10.90.0.0/24. See omistamine on ühe hosti rendileping. Ühendus ei ütle, et sama klient seisab ka 10.60.0.0/24 ees, ja server ei oleta: LAN-i eesliide on konkreetse kliendi kaudu kättesaadav ainult siis, kui administraator selle deklareerib.

Seetõttu ei aita staatiline marsruut teises masinas. Marsruut ütleb saada 10.60.0.0/24 sellele aadressile, aga kui aadress kuulub kliendile, mida ei ole kunagi lüüsiks märgitud, ei ole serveril põhjust neid pakette sinna toimetada ja kliendi virn võib need ära visata. Deklaratsioon ja marsruut on ühe mehhanismi kaks poolt.

Mida lüüsi seade tegelikult paigaldab

Admin Web UI-s on deklaratsioon kasutaja omadus: lubage Configure VPN gateway ühendaja kasutajal ja sisestage haru tegelik eesliide väljale Network on the VPN client side. See kasutaja autenditakse nagu iga teine, seega vajab ta järelevalveta seadmele sobivat mandaadipoliitikat, ja automaatse sisselogimise profiil on saladus, mitte mugavusfail.

Selle märkeruudu taga käsitleb server eesliidet kättesaadavana selle kliendi pooli aadressi kaudu, ja Access Controlsi all olev marsruutimise konfiguratsioon otsustab, mida teistele klientidele öeldakse: tavalistele klientidele saadetavad marsruudid ja juurdepääsureeglid, mis lubavad liiklust peakontori võrkudest kliendi aadressidele ja alamvõrkudesse. Lubage marsruutimine võrkudele, mis peavad haruni jõudma, ja hoidke lubatud loend lühike.

Community-stiilis direktiiv, mis on kopeeritud genereeritud faili, ei osale selles mudelis. Toode omab marsruutimistabelit, mida ta saadab; käsitsi muudetud rida kirjutatakse järgmisel genereerimisel üle või jäetakse tähelepanuta.

Lõpetage mõlema võrgu tagasiteed

Konkreetne plaan: peakontor 10.40.0.0/24, haru 10.60.0.0/24, VPN-i pool 10.90.0.0/24 ja Access Server on kättesaadav privaatse aadressi kaudu peakontori poolel. Peakontori ruuter vajab marsruute haru eesliitele ja poolile, mõlemad Access Serveri poole. Ilma nendeta kannab tunnel päringu ja vastus väljub vaikelüüsi kaudu, mis annab klassikalise pooleldi avatud ühenduse.

Harus peab ühendaja edastama pakette, mis ei ole talle adresseeritud: IP edastamine operatsioonisüsteemis pluss tunnelile ja LAN-liidestele piiratud edastusluba; Linuxis on see net.ipv4.ip_forward=1 koos forward-ahela reeglitega, Windowsis routing and remote access. Seejärel vajavad haru hostid tagasiteed: kas ühendaja on nende vaikelüüs või kannab olemasolev lüüs peakontori ja pooli eesliidete jaoks konkreetseid marsruute.

Ühendaja enda marsruutimistabel ei seadista ümber iga hosti haru LAN-is. Kui hostid osutavad teisele ruuterile, kuuluvad tagasimarsruudid sinna ja see peab aktsepteerima, et nähtav lähteaadress ei ole kohaliku alamvõrgu naaber.

Lugege tõrget teena, mitte loana

Testige kindlas järjekorras. Kõigepealt lubatud teenus Access Serverist haru hostini, seejärel sama teenus tavalise peakontori hosti pealt, seejärel vastassuund, kui poliitika lubab. Kui esimene läbib ja teine ebaõnnestub, on probleem saadetud marsruutides või juurdepääsureeglites. Kui mõlemad läbivad, aga vastuseid ei tule, uurige edastamist harus ja tagasimarsruuti peakontoris.

Järgmine kahtlusalune on hosti tulemüür, sest marsruuditud juurdepääsu korral näeb sihtkoht lähtena peakontori või pooli aadressi. Kohaliku alamvõrgu jaoks kirjutatud reegel ei sobi ja pakett visatakse ära pärast seda, kui marsruutimine töötas laitmatult.

Kaks lahendust vajavad rohkem. Kattuvad eesliited asukohtade vahel muudavad sihtkoha mitmetähenduslikuks ja nõuavad ümbernummerdamist või tõlget, ning klastris Access Server peab igal sõlmel olema töötav tee haru ühendajani, mitte üks sõlm, mis marsruuti hoiab. Rakendage muudatused toote tavapärase salvestamise ja uuendamise teel, ühendage ühendaja uuesti ja kontrollige mõlemast otsast; iga masina täielik taaskäivitamine ei kuulu protseduuri.

Access Serveri site-to-site õpetus loetleb samad seaded toote järjekorras; tasub seda üks kord järgida, enne kui kohandate lahenduse oma eesliidetele.