pfSense sem VPN-þjónn og -biðlari: tveir vegir, ein leiðari

Eitt tæki getur snúið í tvær áttir samtímis: reikandi notendur tengjast inn, og sami kassinn tengist út til útgangsveitanda svo valin umferð fari út um annað net. Að virkja báðar þjónusturnar tekur mínútur; að láta þær lifa saman krefst hönnunar, því seinna hlutverkið endurskrifar leiðatöfluna sem hið fyrra byggir á. Þrjú skilyrði ráða því hvort fyrirkomulagið virkar, nefnilega hvort innkomandi þjónustan heldur eigin afturleið, hvort útleiðargöngin nái enn til hliðstæðunnar, og hvort umferðin sem þú ætlaðir að senda áfram er valin fyrir útganginn. Farðu rangt í eitt og þú fær tvö göng sem bæði tilkynna tengingu á meðan ekkert gagnlegt fer á milli þeirra. Prófanirnar hér fyrir neðan staðfesta hvert skilyrði í þeirri röð sem bilanir birtast venjulega.

Nefndu hlutverkin tvö áður en þú snertir nokkra stillingu

Skrifaðu niður fjórar staðreyndir fyrir hvert tilvik: fjarlæga hliðstæðu þess, auðkenningarefni þess, þann vistfangapott sem það úthlutar og netin á bak við það. Tilvikin tvö eru aðskildir hlutir á tækinu og eiga að vera aðskilin í athugasemdunum þínum líka. Næstum hvert ruglandi einkenni síðar kemur frá því að blanda saman gildum þeirra, og tvö tilvik sem deila einu athugasemdasetti er leiðin sem rangur pottur endar í röngum reit.

Innkomandi þjónustan þarf göngnet sem skarast ekki við vistföng útleiðarganganna né neitt einkanet sem tækið leiðar. Skörun er eina mistökin sem veldur einkennum í báðum hlutverkum á sama tíma, og ódýrara er að grípa hana á pappír. Berðu saman báða potta og hvert leiðað einkanet á einum stað áður en þú stillir aðra hvora þjónustuna.

Deild vélbúnaður þýðir ekki deild auðkenni, og biðlaraskírteini úr fjartengingarpottinum ætti ekki að vera nothæft gegn útgangsveitandanum. Aðskilið efni gerir afturköllun líka að staðbundinni ákvörðun í stað atburðar fyrir alla flotann.

Haltu svörum þjónsins á WAN-leiðinni

Svörin sem tækið býr sjálft til eru fyrsta fórnarlamb kæruleysislegrar sjálfgefinnar leiðar. Þegar umbúðapakki reikandi notanda berst er svarið staðbundið upprunið umferð og verður að fara út um það viðmót sem notandinn kom inn um. Ef útleiðarbiðlarinn setti sjálfgefna leið sem grípur hana fer svarið inn í ranga göngin og lotan stöðvast á meðan þjónustan lítur enn heilbrigð út.

Það er enginn einn gátkassi sem leysir þetta, því ákvörðunin snýst um hvaða umferð útleiðarbiðlarinn má grípa. Annaðhvort togarðu engar leiðir og stýrir bara því sem þú velur, eða togarðu leiðir og bætir við undantekningunum sem halda eigin þjónustum tækisins gangandi. Skrifaðu valið við hlið tilviksins, annars mun næsta manneskja gera ráð fyrir hinu.

netstat -rn | head -20
pfctl -sr | grep -i vpn
ifconfig | grep -A3 ovpn

Lestu leiðatöfluna eftir lengstu samsvörun, ekki eftir þeirri röð sem þú stilltir eitthvað í. Spurningin er hvaða færsla vinnur fyrir vistfang útgangshliðstæðunnar og hvaða færsla vinnur fyrir svar innkomandi þjónustu, og þessi tvö svör geta verið ólík.

Ekki láta útleiðargöngin éta eigin endapunkt

Útleiðarbiðlarinn verður að ná til opinbers vistfangs hliðstæðunnar til að koma göngunum á fót yfirleitt. Ef það vistfang er sjálft leiðað inn í göngin eltir biðlarinn eigin hala: flutningurinn kemst aldrei upp, eða kemst upp og dettur á þeirri stundu sem leiðin er sett upp. Annállinn lítur út eins og auðkenningartímamörk frekar en leiðarbilun, og þess vegna á leiðin skilið fyrstu prófunina.

Prófaðu leiðina fyrir auðkennin og aftur eftir að göngin eru komin upp, því færsla getur verið rétt við ræsingu og röng mínútu síðar. Vistfang hliðstæðunnar verður að vísa á venjulegu WAN-leiðina, aldrei á gangatækið. Þegar flutningurinn er orðinn stöðugur færist áhugaverða spurningin yfir á áframsenda umferð, sem er næsta ákvörðun.

netstat -rn | grep -F '198.51.100.10'
traceroute -n 198.51.100.10

Veldu hvaða notendur fá útganginn

Upprunastefna heyrir undir innganginn þar sem umferð kemur inn í tækið, svo veldu fjartengingarpottinn eða þrengri auðkenni innan hans. Varðveittu einkadestineringar og stjórnunarundantekningar sem aldrei má senda til útgangsins, og settu þær reglur á undan þeirri víðu. Útgangsleiðin þarf þá eigin þýðingu eða leiðað afturúrræði, sem í flestum hönnunum þýðir útleiðar-NAT á útgangsviðmótinu sem nær yfir pottinn. Þýðing velur ekki útgang; hún endurskrifar aðeins það sem þegar er farið, svo NAT-regla á óviðkomandi WAN breytir engu um valið.

Staðfestu að fjarlægi endinn leyfi áframsenda umferð frá þessari hönnun, því sumir veitendur leyfa það og aðrir ekki. Munurinn birtist sem göng sem tengjast og flytja ekkert, sem er auðvelt að lesa rangt sem staðbundna bilun. Prófaðu flæðin þrjú hvert fyrir sig, því þau bregðast óháð og tvö af þremur er hálfkláruð hönnun.

openvpn --config user07.ovpn
curl -sS https://ifconfig.me
curl --interface 10.10.10.1 -sS https://intranet.corp.example/health

Fyrsta skipunin er ytri tenging reikandi notandans, og hún virkar þegar biðlarinn tilkynnir að frumstillingarðin sé lokið. Önnur, keyrð frá þeirri tengdu fartölvu, ætti að tilkynna vistfang útgangsveitandans í stað WAN-vistfangsins þíns. Þriðja keyrir á tækinu bundin við vistfang úr pottinum, og hún prófar upprunastefnuna fyrir áframsenda umferð án þess að blanda fjarnotanda inn á nokkurn hátt. Ef hún svarar úr WAN í staðinn passaði stefnan ekki, og engin NAT-vinnsla lagar valvandamál.

Ákveddu hvað gerist þegar útgangurinn bregst

Skrifaðu bilanirhegðunina niður áður en hún gerist: þegar útleiðargöngin falla, falla notendur þá aftur á venjulega WAN eða eru þeir lokaðir þar til útgangurinn kemur aftur? Bæði svörin eru verjanleg, og tækið velur ekki fyrir þig. Fjarlægð leið eða stefna sem vísar á dauða gátt gefur ekki sjálfkrafa algjörlega lokaða niðurstöðu. Ef þú vilt lokun verður stefnan að segja það skýrt, og prófa verður hana með því að taka útganginn í burtu frekar en að hugsa um hann. Ef þú vilt afturfall skaltu birta það notendum, því umferð sem tekur þegjandi venjulegu leiðina er einmitt sú umferð sem einhver hélt að væri þakin.

Slökktu á biðlaratilvikinu, sjáðu hvað tengdur notandi nær enn, og ræstu það svo aftur. Beiðni sem rennur út á tíma er algjörlega lokuð niðurstaðan sem þú baðst um; sú sem svarar með WAN-vistfanginu er afturfallið sem þú skjalfestir ekki. Endurtaktu prófunina fyrir IPv6 og fyrir DNS, því stefna skrifuð fyrir IPv4 segir ekkert um AAAA-umferð og leysir sem ýtt er í gegnum annaðhvort göngin svarar þaðan sem fyrirspurnin fer í raun út.

pfSsh.php playback svc stop openvpn client 2
curl --max-time 6 -sS https://ifconfig.me
pfSsh.php playback svc start openvpn client 2

Netgate uppskriftin fyrir leiðuð OpenVPN sýnir hvernig upprunastefna, viðmótsúthlutun og útleiðarþýðing falla saman, og umfang hennar milli staða er sá hluti sem ekki á að afrita í heild. Það sem hún mun ekki segja þér er hvaða af þremur skilyrðunum hér að ofan þín eigin hönnun hefur þegar brotið.