Hvers vegna OpenVPN-biðlarar missa IPsec-valara gáttarinnar

Pingaðu í hýsil bak við fjarlæga IPsec-göngin frá gáttinni og hann svarar hreint, svo gangið virðist heilbrigt og miðinn færist áfram. Síðan reynir tengdur biðlari sama hýsil og fær ekkert til baka. Það ping var aldrei sönnun fyrir flæði biðlarans, því það fór út með eigin upprunavistfangi gáttarinnar og passaði við annan IPsec-valara. Skilningur á því hvers vegna tilvikin tvö greinast er stærstur hluti lagfæringarinnar.

Ping gáttarinnar prófar flæði sem biðlarinn þinn notar aldrei

Upprunavistfangið ræður því hvaða stefna gildir. Pakki sem myndast á gáttinni fer út með vistfangi úr staðbundnu LAN-i hennar eða frá endapunkti ganganna, og stefnan sem passar við hann var skrifuð nákvæmlega fyrir það tilvik. Pakki biðlarans kemur á OpenVPN-viðmótið með vistfangi úr biðlarahópnum, sem er algjörlega annar valari.

Þess vegna lítur bilunin út eins og leiðavandamál þótt hún sé í raun vandamál um umfang stefnunnar. Aðgengi frá gáttinni sannar að jafninginn er virkur og að samið hafi verið um tillögurnar, og það sannar ekkert um hvort hópurinn sé varinn.

Ýttu fjarlæga forskeytinu sem forritið þarf í raun

Taktu sýnishornsparið 10.8.0.0/24 fyrir tengda biðlara og 172.30.239.0/25 fyrir varða fjarlæga netið. Það sem biðlari þarf er leið að þessu öðru forskeyti, ekki að LAN-i gáttarinnar og ekki að einhverju öðru gangavistfangi. Leið sem ýtt er í hópinn er það sem fær biðlarann til að afhenda þessa umferð gáttinni yfirleitt. Án hennar nær pakkinn aldrei að stefnuákvörðuninni sem þú ert að kemba.

Á Community-þjóni sem tekur við ýttum leiðum tekur skipunin raunverulega grímu: push "route 172.30.239.0 255.255.255.128". Access Server stillir sama áfangastað í gegnum stillingar fyrir einkanet eða aðgangsreglur uppsettu útgáfunnar, og beina eða þýddu hamnum er valið viljandi. Að breyta mynduðum eldveggjarkeðjum í stað eigin stillinga er leiðin sem virk uppsetning verður ómöguleg að endurgera.

Eftir tengingu skaltu lesa leiðatöflu biðlarans frekar en áform þjónsins. Leið sem nær aðeins yfir hópinn þýðir að ýtingin komst aldrei, og sjálfgefin leið gegnum gangið er breiðari en þessi krafa og kemur þér síðar á óvart. Athugaðu grímuna sem og forskeytið, því /25 sem ýtt er sem /24 sendir umferð nágrannavistfanga á braut sem ræður ekki við hana. Staðfestu síðan að biðlarinn valdi gangaviðmótið fyrir þann áfangastað.

Láttu valarana ná yfir biðlarahópinn

Fyrir beinan aðgang sem varðveitir vistföng biðlara, verður IPsec-stefnan að verja umferð milli hópsins og fjarlæga forskeytisins. Valarar sem skrifaðir eru fyrir eigið LAN gáttarinnar hleypa pinginu í gegn og henda beiðni biðlarans, og það er einmitt ósamhverfan sem hóf þessa rannsókn.

Skoðaðu samið stefnu sem og stilltu tillögurnar, til dæmis með ipsec statusall á strongSwan eða samsvarandi stöðuskipun fyrir útfærsluna þína. Í stefnumiðuðu IPsec getur venjulega leiðin vísað að líkamlegu viðmóti á meðan samsvarandi umferð er samt dulkóðuð, svo skortur á gangatæki sannar ekkert. Berðu saman valarapörin við hópinn og forskeytið sem þú skrifaðir niður.

Almenn upprunanAT á gáttinni getur líka brotið samsvörunina. Ef masquerade-regla endurskrifar uppruna biðlarans fyrir stefnuprófið lítur pakkinn ekki lengur út eins og valarinn sem þú skrifaðir. Þetta er ein ástæða þess að breið masquerade-regla er slæm lausn fyrir annað VPN: hún breytir því hvaða stefna gildir og hvaða vistfang fjarlæga hliðin skráir. Undanþiggu umferðina sem þú hyggst beina, eða þýddu hana viljandi og uppfærðu valarana.

Veldu beinu eða þýðingu af ásetningi

Beining heldur vistfangi biðlarans sýnilegu fyrir fjarlægu hliðinni, svo fjarlæg skrá og reglur fyrir hverja uppruna halda gildi sínu, og það krefst þess að fjarlæga gáttin þekki afturleiðina að hópnum. Þýðing felur hópinn bak við eitt vistfang, sem fjarlægir afturleiðarvandamálið og eyðileggur auðkenni hvers biðlara.

Veldu eina hönnun og skrifaðu hana niður, því hinar tvær þurfa ólíka valara og aðra röðun eldveggjar. Hálfnotuð masquerade lendir á milli þeirra og fullnægir hvorugri. Skrifaða valið er líka það sem gerir næsta verkfræðingi kleift að greina galla frá viljandi ákvörðun.

Lokaðu lykkjunni á áframsendingu og svarinu

Gáttin verður að áframsenda samskiptaregluna og áfangastaðinn sem þú ætlar þér, sem þýðir að IP-áframsending sé virk og áframsendingarkeðja sem leyfir parið. Síðan verður fjarlæga hliðin að senda svör til baka eftir IPsec-leiðinni, og það er leiðaákvörðun á þeirra gátt en ekki þína. Báðir helmingar eru venjuleg stilling, og báða er auðvelt að láta sitja hálfnaða. Prófaðu þá aðskilda svo að skortur á áframsendingarreglu sé ekki tekinn fyrir brostið gang.

Staðfestu með einni raunverulegri beiðni frá biðlara til forrits, og fylgstu með henni fara gegnum OpenVPN-viðmótið, IPsec-ákvörðunina og fjarlæga hýsilinn. Skoðaðu svarið sem aðskilda athugun, því beiðni sem berst og svar sem kemur aldrei til baka líta eins út frá sæti biðlarans. Ein rakin beiðni er meira virði en hvaða fjöldi pinga frá gáttinni sem er.

Haltu heimild áfangastaðarins þröngri meðan þú prófar, og staðfestu að biðlari án reglunnar komist ekki að þjónustunni. Uppsett leið ásamt stofnuðu samtengingu er ekki það sama og veittur aðgangur.