Access Server шлюз пайдаланушысы: клиент филиалының LAN маршруттау

OpenVPN клиентінің туннель мекенжайына ping жасай аласыз, бірақ оның артындағы LAN-дағы бірде-бір хостқа жете алмайсыз. Access Server клиентке VPN пулынан мекенжай береді, ал пул мекенжайы — сервер өзінікі деп білетін жалғыз нәрсе. Филиал префиксі жеке жариялануы тиіс факт, тіпті одан кейін де филиалға форвардер, бас кеңсеге қайтару жолы қажет. Дұрыс емес жерге жазылған маршрут шешім сияқты көрінеді, бірақ ештеңені өзгертпейді.

Екі мекенжай, екі түрлі иелік талабы

Клиент қосылғанда Access Server оған конфигурацияланған VPN пулынан мекенжай береді, мысалы 10.90.0.0/24. Бұл тағайындау бір хостқа арналған жалдау. Қосылымда сол клиент 10.60.0.0/24 алдында да тұрғаны айтылмайды, сервер болжамайды: LAN префиксі нақты клиент арқылы әкімші жариялағанда ғана қолжетімді.

Сондықтан басқа машинадағы статикалық маршрут көмектеспейді. Маршрут 10.60.0.0/24 осы мекенжайға жібер дейді, бірақ мекенжай шлюз деп белгіленбеген клиентке тиесілі болса, сервердің бұл пакеттерді сонда жеткізуге себебі жоқ, клиенттің стегі оларды тастауы мүмкін. Жариялау мен маршрут бір механизмнің екі жартысы.

Шлюз параметрі шын мәнінде нені орнатады

Admin Web UI-де жариялау — пайдаланушы қасиеті: connector пайдаланушысында Configure VPN gateway қосып, филиалдың нақты префиксін Network on the VPN client side өрісіне енгізіңіз. Бұл пайдаланушы басқалар сияқты аутентификацияланады, сондықтан қадағалаусыз құрылғыға сай тіркелгі деректері саясаты керек, ал авто-кіру профилі ыңғайлық файлы емес, құпия.

Осы белгінің артында сервер префиксті сол клиенттің пул мекенжайы арқылы қолжетімді деп санайды, ал Access Controls астындағы маршруттау конфигурациясы басқа клиенттерге нені хабарлауды шешеді: қарапайым клиенттерге жіберілетін маршруттар және бас кеңсе желілерінен клиент мекенжайлары мен ішкі желілеріне трафикті рұқсат ететін ережелер. Филиалға жетуі тиіс желілер үшін маршруттауды қосыңыз, рұқсат етілген тізімді қысқа ұстаңыз.

Генерацияланған файлға қойылған Community стиліндегі директива бұл моделге қатыспайды. Өнім өзі жіберетін маршруттау кестесіне ие; қолмен өңделген жол келесі генерацияда қайта жазылады немесе еленбейді.

Екі желінің қайтару жолдарын аяқтаңыз

Нақты жоспар: бас кеңсе 10.40.0.0/24, филиал 10.60.0.0/24, VPN пулы 10.90.0.0/24, ал Access Server бас кеңсе жағындағы жеке мекенжайда қолжетімді. Бас кеңсенің маршрутизаторына филиал префиксі мен пул үшін маршруттар керек, екеуі де Access Server-ге қарай. Онсыз туннель сұранысты тасымалдайды, ал жауап әдепкі шлюз арқылы шығады, бұл таныс жартылай ашық қосылымды береді.

Филиалда connector өзіне арналмаған пакеттерді форвардтауы керек: өз ОЖ-інде IP форвардинг және туннель мен LAN интерфейстерімен шектелген форвардтау рұқсаты; Linux-те бұл net.ipv4.ip_forward=1 forward тізбегі ережелерімен, Windows-та routing and remote access. Содан кейін филиал хосттарына қайтару жолы керек: не connector олардың әдепкі шлюзі, не бар шлюз бас кеңсе мен пул префикстері үшін нақты маршруттарды тасымалдайды.

Connector-дің өз маршруттау кестесі филиал LAN-дағы әр хостты қайта конфигурацияламайды. Хосттар басқа маршрутизаторға сілтесе, қайтару маршруттары сонда, ол өзі көретін көз мекенжайының жергілікті ішкі желінің көршісі еместігін қабылдауы керек.

Сәтсіздікті рұқсат емес, жол ретінде оқыңыз

Белгіленген ретпен тексеріңіз. Алдымен Access Server-ден филиал хостіне рұқсат етілген қызмет, содан кейін бас кеңсенің қарапайым хостінен сол қызмет, содан кейін саясат рұқсат етсе кері бағыт. Біріншісі өтіп, екіншісі сәтсіз болса, жіберілген маршруттар немесе қатынау ережелері кінәлі. Екеуі де өтіп, жауап келмесе, филиалдағы форвардингті және бас кеңседегі қайтару маршрутын тексеріңіз.

Хосттың firewall-ы келесі күдік, өйткені маршрутталған қатынауда тағайындалу көз ретінде бас кеңсе немесе пул мекенжайын көреді. Жергілікті ішкі желіге жазылған ереже сәйкес келмейді және маршруттау мінсіз жұмыс істегеннен кейін пакет тасталады.

Екі дизайнға көбірек керек. Сайттар арасында қабаттасатын префикстер тағайындалуды анықсыз етеді және қайта нөмірлеуді немесе аударманы талап етеді, ал кластерлі Access Server әр тораптың филиал connector-іне жұмыс істейтін жолы болуын талап етеді, маршрутты бір торап ұстауын емес. Өзгерістерді өнімнің әдеттегі сақтау және жаңарту жолымен қолдаңыз, connector-ді қайта қосыңыз және екі жақтан қайта тексеріңіз; әр машинаны толық қайта жүктеу процедураның бөлігі емес.

Access Server-дің site-to-site оқулығы сол параметрлерді өнім ретімен тізімдейді; дизайнды өз префикстеріңізге бейімдеу алдында бір рет ұстануға тұрарлық.