pfSense OpenVPN: beste bideratzaile baten atzeko sare batera iristea
Bezeroak aurrez bultzatutako prefijo bat behar du, pfSense-k hurrengo jauzi irisgarri bat, eta urruneko bideratzaileak igerilekura itzultzeko bidea. Hiru jabe, hiru ibilbide.
Zure eramangarria pfSense-ren LANera iristen da VPNaren bidez, baina oraindik ere huts egiten du bi jauzi barrurago dagoen zerbitzu batera iristean, eta aldea jabe bakoitzeko bideratze-erabaki bat da. Hiru gailuk ados egon behar dute pakete batek joan-etorriko bidaia osatu aurretik: bezeroak, suebakiak eta helmugako sarea benetan duen bideratzaileak. Horietako edozein ahaztuta, sintoma berdinak dirudi.
Arau bat aldatu aurretik, jarraitu pakete bat hiru erabaki horietatik, jabe bakoitzak kontrol desberdina eta huts egiteko modu desberdina baitu.
Pakete bat, hiru bideratze-erabaki
Bezeroak erabakitzen du helmuga tunelean dagoen ala ez, eta soilik dakienaren arabera erabaki dezake: bultzatutako ibilbide bat, ibilbide lokal bat edo dena estaltzen duen lehenetsitako bat. pfSense-k erabakitzen du paketea hurrengo nora bidali, eta beste bideratzaile baten atzeko sare baterako horrek esan nahi du ibilbide estatikoa pasabide irisgarri baten bidez interfaze egokian. Beheko bideratzaileak erabakitzen du VPNaren igerilekura itzultzeko bidea ezagutzen duen, eta ez badu ezagutzen, erantzuna baztertu edo leku alferrik gabeko batera bidaltzen da. Erabaki bakoitza beste birekiko independentea da.
Horietako edozeinen hutsegiteak erabiltzaile-txosten bera sortzen du. Horregatik, arazketa-ordena tresnek baino gehiago axola da.
Eman bezeroari prefijo bat, ez suposizio bat
IPv4 tunel-sarea /30 baino handiagoa duen pfSense SSL/TLS zerbitzari batean, IPv4 Local network(s) eremuak ibilbideak banatzen dizkie bezeroei konektatzen direnean. Gehitu beheko prefijoa han, bezeroak bat asmatuko duela fidatu beharrean. Ondoren irakurri bezeroaren benetako taula konektatu ondoren, route-nopull duen profil batek edo ibilbide-iragazki batek zerbitzariak bidalitakoa alde batera utzi baitezake. Zerbitzaria erabat zuzena izan daiteke, bezeroak ezer instalatzen ez duen bitartean.
Beste zerbitzari-moduek eta topologiak muga desberdinak dituzte, eta bezero edo konexio bakoitzeko politikek aldatu egin dezakete bezero jakin batek jasotzen duena. Egiaztatu axola duen bezeroan, lehenengo probatu zenuen horretan baino.
Zuzendu pfSense barneko bideratzaileari
pfSense-ko ibilbide estatikoa definituta eta irisgarria den pasabide bat behar du, eta pasabide horretarako aukeratutako interfazeak benetan hara iristen dena izan behar du, Netgate-ren ibilbide estatikoen gidak deskribatzen duen bezala. Ilustraziozko diseinu batean, transituko lotura 192.168.77.1 da suebakian eta 192.168.77.2 barneko bideratzailean, zerbitzu-sarea atzean 172.16.30.0/25 delarik. Orduan ibilbideak prefijoa eta hurrengo jauzia izendatzen ditu, ez zerbitzuaren helbidea. Urruneko sareko helbide bat pasabide gisa erabiltzea ohiko modua da zuzena dirudien eta inora birbidaltzen ez duen ibilbide bat eraikitzeko.
Interfaze bati izena emateak ez du haren atzeko sareak deskribatzen. Ibilbide estatikoa da deskribapen hori.
Urruneko aldeak igerilekua ezagutu behar du
Beheko bideratzaileak igerilekurako itzulera-ibilbide bat behar du, adibide honetan 10.55.0.0/24 192.168.77.1 bidez, baldin eta lehenetsitako ibilbide batek edo protokolo dinamiko batek jada bat ematen ez badu. Zerbitzuko ostalariaren beraren pasabideak bideratzaile horretarantz eraman behar du, eta hori normalean egia da bideratzailea haren pasabide lehenetsia denean, eta gezurra ostalaria eskuz konfiguratu zenean. Suebakiko politika-bideratzeak ere taula gainidatzi dezake trafiko jakin baterako, beraz, egiaztatu arau batek beste pasabide bat hautatzen duen ibilbidea okerra dela ondorioztatu aurretik.
Diseinu honek ez du itzulpenik behar, eta bezeroaren iturburu-helbidea ikusgai edukitzeak beheko sareari bere politika aplikatzeko aukera ematen dio.
Onarpena lortzeko, jarraitu eskaera berri bat tuneleko sarreratik, suebakiko irteera barnetik eta helmugako erantzunetik. Horren ordez itzulpena nahita erabiltzen bada, erregistra ezazu beheko sareak ikusten duen iturburua eta erantzunak nola itzultzea espero den.
Gorde hiru jabeen plana baimendutako aplikazioaren ondoan, hurrengo administratzaileak bidea berreraiki dezan, berriro aurkitu beharrean.