Access Server gateway korisnik: usmjeravanje LAN-a klijentove podružnice

Možete pingati adresu tunela OpenVPN klijenta i ipak ne doći ni do jednog hosta na LAN-u iza njega. Access Server dodjeljuje tom klijentu adresu iz VPN poola, a adresa poola je sve što poslužitelj zna da posjeduje. Prefiks podružnice zasebna je činjenica koju treba deklarirati, a i tada podružnica treba prosljeđivač, a središnjica povratni put. Ruta upisana na pogrešno mjesto izgleda kao rješenje i ništa ne mijenja.

Dvije adrese, dva različita zahtjeva za vlasništvom

Kad se klijent poveže, Access Server dodjeljuje mu adresu iz konfiguriranog VPN poola, primjerice 10.90.0.0/24. Ta je dodjela zakup za jedan host. Ništa u vezi ne kaže da isti klijent stoji i ispred 10.60.0.0/24, a poslužitelj neće nagađati: LAN prefiks dostupan je kroz određeni klijent samo ako ga administrator deklarira.

Zato statična ruta na drugom stroju ne pomaže. Ruta kaže pošalji 10.60.0.0/24 na ovu adresu, ali ako adresa pripada klijentu koji nikada nije označen kao gateway, poslužitelj nema razloga dostaviti te pakete tamo, a klijentov ih stog može odbaciti. Deklaracija i ruta dvije su polovice istog mehanizma.

Što gateway postavka zapravo instalira

U Admin Web UI deklaracija je korisničko svojstvo: uključite Configure VPN gateway na connector korisniku i unesite stvarni prefiks podružnice u Network on the VPN client side. Taj se korisnik autentificira kao i svaki drugi, pa mu treba politika vjerodajnica primjerena uređaju bez nadzora, a njegov profil automatske prijave je tajna, ne datoteka za udobnost.

Iza tog okvira poslužitelj tretira prefiks kao dostupan kroz pool adresu tog klijenta, a konfiguracija usmjeravanja pod Access Controls odlučuje što se govori drugim klijentima: rute koje se šalju običnim klijentima i pravila pristupa koja dopuštaju promet iz mreža središnjice prema adresama i podmrežama klijenata. Uključite usmjeravanje za mreže koje moraju doći do podružnice i držite popis dopuštenih kratkim.

Community direktiva zalijepljena u generiranu datoteku ne sudjeluje u ovom modelu. Proizvod posjeduje tablicu usmjeravanja koju šalje; ručno uređen redak prepisuje se pri sljedećem generiranju ili se zanemaruje.

Dovršite povratne putove obiju mreža

Konkretan plan: središnjica 10.40.0.0/24, podružnica 10.60.0.0/24, VPN pool 10.90.0.0/24, a Access Server dostupan na privatnoj adresi sa strane središnjice. Usmjerivač središnjice treba rute za prefiks podružnice i za pool, obje prema Access Serveru. Bez njih tunel nosi zahtjev, a odgovor izlazi kroz zadani gateway, što daje klasičnu poluotvorenu vezu.

U podružnici connector mora prosljeđivati pakete koji nisu adresirani na njega: IP prosljeđivanje u njegovu OS-u plus dopuštenje prosljeđivanja ograničeno na sučelja tunela i LAN-a; na Linuxu je to net.ipv4.ip_forward=1 uz pravila forward lanca, na Windowsu routing and remote access. Hostovi u podružnici zatim trebaju povratni put: ili je connector njihov zadani gateway, ili postojeći gateway nosi posebne rute za prefikse središnjice i poola.

Connectorova tablica usmjeravanja ne rekonfigurira svaki host na LAN-u podružnice. Ako hostovi pokazuju na drugi usmjerivač, povratne rute pripadaju tamo i on mora prihvatiti da izvorna adresa koju vidi nije susjed na lokalnoj podmreži.

Čitajte neuspjeh kao put, a ne kao dopuštenje

Testirajte u fiksnom redoslijedu. Najprije dopuštena usluga od Access Servera do hosta u podružnici, zatim ista usluga s običnog hosta u središnjici, pa obrnuti smjer ako politika dopušta. Ako prvi prođe, a drugi ne, problem su poslane rute ili pravila pristupa. Ako oba prođu, ali odgovori ne dolaze, provjerite prosljeđivanje u podružnici i povratnu rutu u središnjici.

Host firewall je sljedeći sumnjivac, jer kod usmjerenog pristupa odredište vidi adresu središnjice ili poola kao izvor. Pravilo napisano za lokalnu podmrežu neće se poklopiti i paket se odbacuje nakon što je usmjeravanje savršeno radilo.

Dva dizajna traže više od ovog uzorka. Prefiksi koji se preklapaju između lokacija čine odredište dvosmislenim i traže ponovno numeriranje ili prijevod, a klasterirani Access Server traži da svaki čvor ima radni put do connectora podružnice, a ne jedan čvor koji drži rutu. Primijenite promjene uobičajenim putem spremanja i ažuriranja, ponovno povežite connector i provjerite s oba kraja; potpuno ponovno pokretanje svakog stroja nije dio postupka.

Access Serverov vodič za site-to-site navodi iste postavke proizvodnim redoslijedom; vrijedi ga jednom slijediti prije prilagodbe dizajna vlastitim prefiksima.