pfSense OpenVPN: басқа маршрутизатордың артындағы желіге қол жеткізу

Ноутбугіңіз VPN арқылы pfSense LAN-ына жетеді, бірақ әлі де екі секіріс тереңіректегі қызметке жете алмайды, ал айырмашылық — әр ие үшін бір маршруттау шешімі. Пакет өзінің барып-қайту сапарын аяқтауы үшін үш құрылғы келісуі керек: клиент, брандмауэр және мақсатты желіге шын мәнінде иелік ететін маршрутизатор. Олардың кез келгенін өткізіп алсаңыз, симптом бірдей көрінеді.

Ережені өзгерту алдында бір пакетті осы үш шешімнен өткізіп шығыңыз, өйткені әр иенің басқа басқаруы және басқа ақау режимі бар.

Бір пакет, үш маршруттау шешімі

Клиент мақсаттың туннельге жататынын шешеді және тек өзі білетін нәрсеге сүйеніп шеше алады: итерілген маршрут, жергілікті маршрут немесе бәрін қамтитын әдепкі маршрут. pfSense пакетті әрі қарай қайда жіберу керегін шешеді, ал бұл басқа маршрутизатордың артындағы желі үшін дұрыс интерфейстегі қолжетімді шлюз арқылы статикалық маршрут дегенді білдіреді. Төменгі маршрутизатор VPN пулына қайтатын жолды біле ме, соны шешеді, ал егер білмесе, жауап тасталады немесе пайдасыз жерге жіберіледі. Әр шешім қалған екеуінен тәуелсіз.

Солардың кез келгенінің істен шығуы бірдей пайдаланушы есебін береді. Сондықтан жөндеу тәртібі құралдардан маңыздырақ.

Клиентке болжам емес, префикс беріңіз

IPv4 туннель желісі /30-нан үлкен pfSense SSL/TLS серверінде IPv4 Local network(s) өрісі қосылған кезде клиенттерге маршруттар таратады. Клиенттің өзі ойлап табады деп сенудің орнына төменгі префиксті сол жерге қосыңыз. Содан кейін қосылғаннан кейін клиенттің нақты кестесін оқыңыз, өйткені route-nopull бар профиль немесе маршрут сүзгісі сервер жібергенді елемеуі мүмкін. Сервер толығымен дұрыс болуы мүмкін, ал клиент ештеңе орнатпайды.

Басқа сервер режимдері мен топологиялардың шектеулері басқаша, ал әр клиент немесе қосылым саясаты нақты клиенттің не алатынын өзгертуі мүмкін. Бірінші кездейсоқ сынаған клиентте емес, маңызды клиентте тексеріңіз.

pfSense-ті ішкі маршрутизаторға бағыттаңыз

pfSense-тегі статикалық маршрутқа анықталған және қолжетімді шлюз қажет, ал сол шлюз үшін таңдалған интерфейс оған шын мәнінде жететін интерфейс болуы керек, мұны Netgate-тің статикалық маршруттар жөніндегі нұсқаулығы сипаттайды. Иллюстративті орналасуда транзиттік байланыс брандмауэрде 192.168.77.1 және ішкі маршрутизаторда 192.168.77.2, ал қызмет желісі оның артында 172.16.30.0/25. Содан кейін маршрут префиксті және келесі секірісті атайды, қызмет мекенжайын емес. Алыс желіден алынған мекенжайды шлюз ретінде пайдалану — дұрыс көрінетін және ешқайда жібермейтін маршрут құрудың кең таралған тәсілі.

Интерфейске ат беру оның артындағы желілерді сипаттамайды. Статикалық маршрут — сол сипаттама.

Алыс жақ пулды білуі керек

Төменгі маршрутизаторға пул үшін қайтару маршруты қажет, бұл мысалда 192.168.77.1 арқылы 10.55.0.0/24, егер әдепкі маршрут немесе динамикалық протокол оны әлдеқашан қамтамасыз етпесе. Қызмет хостының өз шлюзі сол маршрутизаторға қарай апаруы керек, бұл әдетте маршрутизатор оның әдепкі шлюзі болғанда дұрыс, ал хост қолмен конфигурацияланғанда дұрыс емес. Брандмауэрдегі саяси маршруттау да нақты трафик үшін кестені қайта анықтауы мүмкін, сондықтан маршрут қате деп қорытынды жасамас бұрын ереженің басқа шлюзді таңдайтынын тексеріңіз.

Бұл дизайн үшін аудару қажет емес, ал клиенттің бастапқы мекенжайын көрінетін күйде ұстау төменгі желіге өз саясатын қолдануға мүмкіндік береді.

Қабылдау үшін бір жаңа сұранысты туннель кіреберісі, брандмауэрдің ішкі шығуы және мақсаттан келген жауап арқылы бақылаңыз. Егер оның орнына аудару әдейі қолданылса, төменгі желі қандай бастапқыны көретінін және жауаптың қалай қайтатыны күтілетінін жазып алыңыз.

Үш иенің жоспарын рұқсат етілген қолданбамен бірге сақтаңыз, сонда келесі әкімші жолды қайта ашуға емес, оны қайта құруға мүмкіндік алады.