Access Server hliðarnotandi: beina LAN-neti útibús viðskiptavinar

Þú getur pingað göngufang OpenVPN-viðskiptavinar og samt ekki náð neinum hýsli á LAN-inu bak við hann. Access Server úthlutar viðskiptavininum vistfang úr VPN-safninu, og safnvistfangið er allt sem þjönninn veit að hann eigi. Forskeyti útibúsins er sérstök staðreynd sem verður að skilgreina, og jafnvel þá þarf útibúið framsendingaraðila og höfuðstöðvarnar afturleið. Leið sem er slegin inn á röngum stað lítur ýt eins og lagfæring og breytir engu.

Tvö vistföng, tvær ólíkar eignakröfur

Þgáður sér viðskiptavinur tengist úthlutar Access Server honum vistfangi úr skilgreindu VPN-safninu, til dæmis 10.90.0.0/24. Sú úthlutun er leiga fyrir eitt hýsil. Ekkert í tengingunni segir að sami viðskiptavinur standi líka fyrir framan 10.60.0.0/24, og þjönninn mun ekki giska: LAN-forskeyti er aðeins aðgengilegt gegnum tiltekinn viðskiptavin ef stjórnandi skilgreinir það.

Þss vegna virkar kyrr leið á annarri vél ekki. Leiðin segir sendu 10.60.0.0/24 á þtta vistfang, en ef vistfangið tilheyrir viðskiptavini sem var aldrei merktur sem hlið, hefur þjönninn enga ástæðu til að afhenda þær pakkningar þangað, og stafli viðskiptavinarins getur hent þéim. Skilgreiningin og leiðin eru tveir helmingar sama fyrirkomulags.

Hvað hliðarstillingin setur í raun upp

Í Admin Web UI er skilgreiningin notandaeiginleiki: kveiktu á Configure VPN gateway hjá tengnotandanum og settu raunverulegt forskyndi útibúsins í Network on the VPN client side. Sá notandi auðkennist eins og hver annar, svo hann þarf skilríkjastefnu sem hentar tæki án eftirlits, og sjálfvirk innskráningarsnið hans er leyndarmál, ekki þægindaskrá.

Bak við þann reit meðhöndlar þjönninn forskyndið sem aðgengilegt gegnum safnvistfang viðskiptavinarins, og beiningarstillingin undir Access Controls ræður því hvað öðrum viðskiptavinum er sagt: leiðirnar sem ýtðt er til venjulegra viðskiptavina og aðgangsreglurnar sem leyfa umferð frá netum höfuðstöðvanna að vistföngum og undirnetum viðskiptavina. Kveiktu á beiningu fyrir netin sem eiga að ná útibúinu og haltu leyfða listanum stuttum.

Community-stíla tilskipun sem er límd í myndaða skrá tekur ekki þátt í þssu líkani. Varanið á beiningartöfluna sem hún ýtir; handbreytt lína er yfirskrifuð við næstu myndun eða hunsuð.

Ljúkti afturleiðum beggja neta

Áþreifanleg áætlun: höfuðstöðvar 10.40.0.0/24, útibú 10.60.0.0/24, VPN-safn 10.90.0.0/24, og Access Server aðgengilegur á einkavistfangi hinum megin. Beinir höfuðstöðvanna þarf leiðir fyrir forskyndi útibúsins og fyrir safnið, báðar að Access Server. Án þeirra ber göngin beiðnina og svar fer ýt um sjálfgefna hliðið, sem gefur hina klassísku hálfopnu tengingu.

Í útibúinu verður tengillinn að framsenda pakkningar sem eru ekki stílaðar á hann: IP-framsending í stýrikerfinu auk framsendingarheimildar sem takmarkast við göngu- og LAN-viðmót; á Linux er það net.ipv4.ip_forward=1 ásamt reglum forward-keðjunnar, á Windows er það routing and remote access. Það þarfa hýslar útibúsins afturleið: annaðhvort er tengillinn sjálfgefna hliðið þeirra, eða núverandi hlið ber sértækar leiðir fyrir forskyndi höfuðstöðvanna og safnsins.

Beiningartafla tengilsins stillir ekki hvert hýsil á LAN-i útibúsins upp á nýtt. Ef hýslarnir benda á annan beini tilheyrir afturleiðin þar, og hann verður að samþykkja að upprunavistfangið sem hann sér'sé ekki nágranni á staðbundnu undirneti.

Lestu bilun sem slóð, ekki sem heimild

Prófaðu í föstum röð. Fyrst leyfð þjónusta frá Access Server að hýsli í útibúinu, svo sama þjónusta frá venjulegum hýsli í höfuðstöðvunum, svo öfug átt ef stefnan leyfir. Ef fyrsta stenst og önnur ekki eru ýtðu leiðirnar eða aðgangsreglurnar vandamálið. Ef báðar standast en svör berast ekki skaltu skoða framsendingu í útibúinu og afturleiðina í höfuðstöðvunum.

Hýsilvegabréf er næsti grunaði, því með beindum aðgangi sér áfangastaðurinn vistfang höfuðstöðvanna eða safnsins sem uppruna. Regla skrifuð fyrir staðbundið undirnet passar ekki og pakkningunni er hent eftir að beiningin virkaði fullkomlega.

Tvær hönnun þarfa meira. Skarast forskyndi á milli staða gera áfangastaðinn tvíræðan og krefjast endurnúmerunar eða þyðingar, og klofinn Access Server krefst þss að hver hnútur hafi virka slóð að tengli útibúsins, ekki einn hnútur sem heldur leiðinni. Beittu breytingum í gegnum venjulega vistun og uppfærslu, tengdu tengilinn aftur og staðfestu frá báðum endum; full endurræsing hverrar vélar er ekki hluti af ferlinu.

Access Server site-to-site kennslan telur sömu stillingar í vöruröð; þes virði að fylgja henni einu sinni áður en hönnunin er aðlöguð að þínum forskyndum.