Access Server шлюз колдонуучусу: кардар филиалынын LAN маршруттоо

OpenVPN кардарынын туннель дарегине ping жасасаңыз болот, бирок анын артындагы LAN'дагы бир да хостко жете албайсыз. Access Server кардарга VPN пулунан дарек берет, ал эми пул дареги — сервер өзүнүкү деп билген жалгыз нерсе. Филиал префикси өзүнчө жарыялануучу факт, жана андан кийин да филиалга форвардер, башкы кеңсеге кайтаруу жолу керек. Туура эмес жерге жазылган маршрут чечим сыяктуу көрүнөт, бирок эч нерсени өзгөртпөйт.

Эки дарек, эки башка ээлик талабы

Кардар туташканда Access Server ага конфигурацияланган VPN пулунан дарек берет, мисалы 10.90.0.0/24. Бул бөлүштүрүү бир хостко ижара. Ошол эле кардар 10.60.0.0/24 алдында да турарын туташуу айтпайт, сервер божомолдобойт: LAN префикси так кардар аркылуу администратор жарыялаганда гана жеткиликтүү.

Ошондуктан башка машинадагы статикалык маршрут жардам бербейт. Маршрут 10.60.0.0/24 ушул дарекке жибер дейт, бирок дарек шлюз деп белгиленбеген кардарга таандык болсо, сервердин бул пакеттерди ал жакка жеткирүүгө себеби жок, кардардын стеги аларды ташташы мүмкүн. Жарыялоо жана маршрут бир механизмдин эки жарымы.

Шлюз параметри чындыгында эмнени орнотот

Admin Web UI'де жарыялоо — колдонуучу касиети: connector колдонуучусунда Configure VPN gateway күйгүзүп, филиалдын чыныгы префиксин Network on the VPN client side талаасына киргизиңиз. Бул колдонуучу башкалар сыяктуу эле аутентификацияланат, ошондуктан көзөмөлсүз түзмөккө ылайыктуу креденциалдык саясат керек, ал эми авто-кирүү профили ыңгайлуулук файлы эмес, сыр.

Ошол белгинин артында сервер префиксти ошол кардардын пул дареги аркылуу жеткиликтүү деп эсептейт, Access Controls астындагы маршруттоо конфигурациясы башка кардарларга эмнени билдирүүнү чечет: жөнөкөй кардарларга жиберилүүчү маршруттар жана башкы кеңсенин тармактарынан кардар даректерине жана ички тармактарына трафикти уруксат кылган эрежелер. Филиалга жетүүгө тийиш тармактар үчүн маршруттоону күйгүзүңүз, уруксат берилген тизмени кыска кармаңыз.

Генерацияланган файлга коюлган Community стилиндеги директива бул моделге катышпайт. Продукт өзү жиберген маршруттоо таблицасына ээ; кол менен түзөтүлгөн сап кийинки генерацияда кайра жазылат же этибарга алынбайт.

Эки тармактын кайтаруу жолдорун бүтүрүңүз

Так план: башкы кеңсе 10.40.0.0/24, филиал 10.60.0.0/24, VPN пулу 10.90.0.0/24, Access Server башкы кеңсенин тарабындагы жеке даректе жеткиликтүү. Башкы кеңсенин маршрутизаторуна филиал префикси жана пул үчүн маршруттар керек, экөө тең Access Server тарапка. Аларсыз туннель сурамды алып жүрөт, жооп демейки шлюз аркылуу чыгат, бул жарым ачык туташууну берет.

Филиалда connector өзүнө арналбаган пакеттерди форварддоого тийиш: өз OS'инде IP форвардинг жана туннель, LAN интерфейстери менен чектелген форварддоо уруксаты; Linux'то бул net.ipv4.ip_forward=1 forward чынжыр эрежелери менен, Windows'то routing and remote access. Андан кийин филиал хостторуна кайтаруу жолу керек: же connector алардын демейки шлюзи, же бар шлюз башкы кеңсе жана пул префикстери үчүн так маршруттарды алып жүрөт.

Connector'дун өз маршруттоо таблицасы филиал LAN'дагы ар бир хостту кайра конфигурациялабайт. Хосттор башка маршрутизаторго көрсөтсө, кайтаруу маршруттары ошол жерде, жана ал өзү көргөн булак дареги жергиликтүү ички тармактын коңшусу эмес экенин кабыл алышы керек.

Ийгиликсиздикти уруксат эмес, жол катары окуңуз

Белгиленген тартипте текшериңиз. Адегенде Access Server'ден филиал хосттуна уруксат берилген кызмат, андан кийин башкы кеңсенин жөнөкөй хосттунан ошол кызмат, андан кийин саясат уруксат берсе карама-каршы багыт. Биринчиси өтүп, экинчиси ийгиликсиз болсо, жиберилген маршруттар же кирүү эрежелери күнөөлүү. Экөө тең өтүп, жооп келбесе, филиалдагы форвардингди жана башкы кеңседеги кайтаруу маршрутун текшериңиз.

Хосттун firewall'ы кийинки шектүү, анткени маршрутталган кирүүдө багыт башкы кеңсе же пул дарегин булак катары көрөт. Жергиликтүү ички тармак үчүн жазылган эреже дал келбейт жана маршруттоо мыкты иштегенден кийин пакет ташталат.

Эки долбоорго көбүрөөк керек. Сайттар ортосунда капталган префикстер багытты белгисиз кылат жана кайра номерлөөнү же которууну талап кылат, ал эми кластердик Access Server ар бир түйүндүн филиал connector'уна иштеген жолу болушун талап кылат, маршрутту бир түйүн кармашын эмес. Өзгөртүүлөрдү продукттун кадимки сактоо жана жаңыртуу жолу менен колдонуп, connector'ду кайра туташтырып, эки тараптан кайра текшериңиз; ар бир машинаны толук кайра жүктөө процедуранын бөлүгү эмес.

Access Server'дин site-to-site окуу куралы ошол параметрлерди продукт тартибинде тизет; дизайнды өз префикстериңизге ылайыктоодон мурун бир жолу ээрчүүгө татыктуу.