pfSense OpenVPN: dolazak do mreže iza drugog usmjerivača

Vaš prijenosnik dolazi do pfSense LAN-a preko VPN-a i još uvijek ne može doći do usluge dva skoka dalje, a razlika je jedna odluka o usmjeravanju po vlasniku. Tri uređaja moraju se složiti prije nego što paket završi svoje putovanje tamo i natrag: klijent, vatrozid i usmjerivač koji zapravo posjeduje odredišnu mrežu. Propustite li bilo koji od njih, simptom izgleda identično.

Pratite jedan paket kroz te tri odluke prije nego što promijenite pravilo, jer svaki vlasnik ima drugačiju kontrolu i drugačiji način kvara.

Jedan paket, tri odluke o usmjeravanju

Klijent odlučuje pripada li odredište tunelu i može odlučivati samo na temelju onoga što zna: gurnuta ruta, lokalna ruta ili zadana ruta koja već pokriva sve. pfSense odlučuje kamo poslati paket dalje, što za mrežu iza drugog usmjerivača znači statičku rutu kroz dostupan pristupnik na ispravnom sučelju. Niži usmjerivač odlučuje zna li put natrag do VPN bazena, a ako ne zna, odgovor se odbacuje ili šalje na beskorisno mjesto. Svaka odluka neovisna je o druge dvije.

Kvar bilo koje od njih daje isto korisničko izvješće. Zato je redoslijed otklanjanja pogrešaka važniji od alata.

Dajte klijentu prefiks, a ne pretpostavku

Na pfSense SSL/TLS poslužitelju s IPv4 tunelskom mrežom većom od /30, polje IPv4 Local network(s) distribuira rute klijentima kada se povežu. Dodajte niži prefiks tamo umjesto da se oslanjate na klijenta da ga izmisli. Zatim pročitajte stvarnu tablicu klijenta nakon povezivanja, jer profil s route-nopull ili filtar ruta može zanemariti ono što je poslužitelj poslao. Poslužitelj može biti savršeno ispravan dok klijent ne instalira ništa.

Drugi načini rada poslužitelja i topologije imaju različita ograničenja, a politika po klijentu ili vezi može promijeniti ono što određeni klijent prima. Provjerite na klijentu koji je važan, a ne na onome koji ste slučajno prvi testirali.

Usmjerite pfSense na interni usmjerivač

Statičkoj ruti u pfSense-u treba definiran i dostupan pristupnik, a sučelje odabrano za taj pristupnik mora biti ono koje do njega stvarno dolazi, kako opisuje Netgateov vodič za statičke rute. U ilustrativnom rasporedu tranzitna je veza 192.168.77.1 na vatrozidu i 192.168.77.2 na internom usmjerivaču, a servisna mreža je 172.16.30.0/25 iza njega. Ruta zatim imenuje prefiks i sljedeći skok, a ne adresu usluge. Korištenje adrese iz udaljene mreže kao pristupnika čest je način da se napravi ruta koja izgleda ispravno i ne prosljeđuje nikamo.

Davanje imena sučelju ne opisuje mreže iza njega. Statička ruta je taj opis.

Udaljena strana mora znati bazen

Niži usmjerivač treba povratnu rutu za bazen, u ovom primjeru 10.55.0.0/24 preko 192.168.77.1, osim ako zadanu rutu ili dinamički protokol već ne pruža. Pristupnik samog hosta usluge mora voditi prema tom usmjerivaču, što je obično točno kada je usmjerivač njegov zadani pristupnik, a netočno kada je host ručno konfiguriran. Usmjeravanje po politici na vatrozidu također može nadjačati tablicu za određeni promet, pa provjerite odabire li pravilo drugi pristupnik prije nego zaključite da je ruta pogrešna.

Za ovaj dizajn nije potrebno prevođenje, a zadržavanje izvorne adrese klijenta vidljivom omogućuje nižoj mreži da primijeni vlastitu politiku.

Za prihvat pratite jedan novi zahtjev kroz ulaz u tunel, interni izlaz vatrozida i odgovor s odredišta. Ako se umjesto toga namjerno koristi prevođenje, zabilježite izvor koji niža mreža vidi i kako se očekuje da se odgovor vrati.

Spremite plan s tri vlasnika uz dopuštenu aplikaciju, kako bi sljedeći administrator mogao rekonstruirati put umjesto da ga ponovno otkriva.