pfSense OpenVPN: að ná neti bak við annan beini

Fartölvan þín nær pfSense-LANinu í gegnum VPN og nær samt ekki þjónustu tveimur stökkum lengra inn, og munurinn er ein leiðarákvörðun fyrir hvern eiganda. Þrjú tæki verða að koma sér saman áður en pakki lýkur ferð sinni fram og til baka: biðlarinn, eldveggurinn og beinirinn sem á í raun áfangastaðarnetið. Slepptu hverjum sem er og einkennin líta eins út.

Fylgdu einum pakka í gegnum þessar þrjár ákvarðanir áður en þú breytir reglu, því hver eigandi hefur annað stýri og annan bilunarmáta.

Einn pakki, þrjár leiðarákvarðanir

Biðlarinn ákveður hvort áfangastaðurinn tilheyri göngunni, og hann getur aðeins ákveðið út frá því sem hann veit: ýttri leið, staðbundinni leið eða sjálfgefinni leið sem þekur þegar allt. pfSense ákveður hvert pakkinn fer næst, sem fyrir net bak við annan beini þýðir staka leið í gegnum aðgengilega gátt á réttu viðmóti. Neðri beinirinn ákveður hvort hann þekkir leið til baka að VPN-lauginni, og ef ekki er svarið hent eða sent á gagnslausan stað. Hver ákvörðun er óháð hinum tveimur.

Bilun hverrar þeirra gefur sömu notendaskýrslu. Þess vegna skiptir röð kembiforritunar meira máli en verkfærin.

Gefðu biðlinum forskeyti, ekki ágiskun

Á pfSense SSL/TLS-þjóni með IPv4-göngunet stærra en /30 dreifir reiturinn IPv4 Local network(s) leiðum til biðlara þegar þeir tengjast. Bættu neðra forskeytinu þar við í stað þess að treysta á að biðlarinn finni eitt upp. Lestu síðan raunverulega töflu biðlarans eftir tengingu, því snið með route-nopull eða leiðarsía getur hunsað það sem þjónninn sendi. Þjónninn getur verið fullkomlega réttur meðan biðlarinn setur ekkert upp.

Aðrar þjónastillingar og staðfræði hafa aðrar takmarkanir, og stefna fyrir hvern biðlara eða tengingu getur breytt því sem tiltekinn biðlari fær. Staðfestu á biðlaranum sem skiptir máli, ekki þeim sem þú prófaðir fyrst af tilviljun.

Beindu pfSense að innri beininum

Stök leið í pfSense þarf skilgreinda og aðgengilega gátt, og viðmótið sem valið er fyrir þá gátt verður að vera það sem nær í raun til hennar, eins og leiðarvísir Netgate um stakar leiðir lýsir. Í skýringarmynd er flutningshlekkurinn 192.168.77.1 á eldveggnum og 192.168.77.2 á innri beininum, og þjónustunetið er 172.16.30.0/25 bak við hann. Leiðin nefnir þá forskeytið og næsta stökk, ekki vistfangið. Að nota vistfang úr fjarnetinu sem gátt er algeng leið til að byggja leið sem lítur rétt út og framsendir hvergi.

Að nefna viðmót er ekki lýsing á netunum bak við það. Staka leiðin er sú lýsing.

Fjarlæga hliðin verður að þekkja laugina

Neðri beinirinn þarf afturleið fyrir laugina, í þessu dæmi 10.55.0.0/24 um 192.168.77.1, nema sjálfgefin leið eða kvik rótargrunnur útvegi þegar eina. Gátt sjálfs þjónustuhýsisins verður að leiða að þeim beini, sem venjulega er satt þegar beinirinn er sjálfgefna gáttin hans og ósatt þegar hýsið var stillt handvirkt. Stefnumiðuð leiðsögn á eldveggnum getur líka hnekkt töflunni fyrir tiltekna umferð, svo athugaðu hvort regla velur aðra gátt áður en þú ályktar að leiðin sé röng.

Engin þýðing er nauðsynleg fyrir þessa hönnun, og að halda upprunavistfangi biðlarans sýnilegu gerir neðra netinu kleift að beita eigin stefnu.

Fyrir samþykki skaltu fylgja einni nýrri beiðni í gegnum inngang ganganna, innri útgang eldveggsins og svarið frá áfangastaðnum. Ef þýðing er hins vegar notuð viljandi skaltu skrá hvaða uppruna neðra netið sér og hvernig búist er við að svarið komi til baka.

Geymdu áætlun hinna þriggja eigenda við hlið leyfða forritsins, svo næsti stjórnandi geti endurbyggt slóðina í stað þess að uppgötva hana aftur.