Эмне үчүн OpenVPN кардарлары шлюздун IPsec селекторлоруна жетпейт

Шлюзден алыскы IPsec туннелинин артындагы хостко ping жасаңыз, ал таза жооп берет, ошондуктан туннель соо көрүнөт жана билет андан ары жылат. Андан соң туташкан кардар ошол хостту сынап көрөт жана эч нерсе кайтпайт. Ал ping эч качан кардардын агымынын далили болгон эмес, анткени ал шлюздун өзүнүн башат дареги менен чыгып, башка IPsec селекторуна туура келген. Бул эки учур эмне үчүн айырмаланарын түшүнүү — оңдоонун басымдуу бөлүгү.

Шлюздун ping’и кардарыңыз эч качан колдонбогон агымды текшерет

Кайсы саясат колдонуларын башат дареги чечет. Шлюзде жаралган пакет жергиликтүү LAN же туннелдин акыркы чекитинин дареги менен чыгат, ал эми ага туура келген саясат дал ошол учур үчүн жазылган. Кардардын пакети OpenVPN интерфейсине кардар пулунун дареги менен келет, бул таптакыр башка селектор.

Ошондуктан бузулуу маршруттоо маселесине окшошот, чындыгында болсо саясаттын камтышынын маселеси. Шлюзден жеткиликтүүлүк теңдештин иштеп жатканын жана сунуштар келишилгенин далилдейт, ал эми пулдун корголгондугу жөнүндө эч нерсе далилдебейт.

Колдонмого чындап керек болгон алыскы префиксти түртүңүз

Туташкан кардарлар үчүн 10.8.0.0/24 жана корголгон алыскы тармак үчүн 172.30.239.0/25 көрсөтмө жупун алыңыз. Кардарга экинчи префикске маршрут керек, шлюздун LANына да, башка туннель дарегине да эмес. Пулга түртүлгөн маршрут кардарды бул трафикти шлюзге өткөрүп берүүгө мажбурлайт. Ансыз пакет сиз оңдоп жаткан саясат чечимине эч качан жетпейт.

Түртүлгөн маршруттарды кабыл алган Community серверинде директива чыныгы масканы алат: push "route 172.30.239.0 255.255.255.128". Access Server ошол эле даректи орнотулган версиянын жеке тармак же кирүү эрежелеринин жөндөөлөрү аркылуу баптайт, маршрутталган же которулган режим атайын тандалат. Генерацияланган firewall чынжырларын ээсинин конфигурациясынын ордуна оңдоо — иштеп турган орнотууну кайра жаратуу мүмкүн эмес кыла турган жол.

Туташкандан кийин сервердин ниетин эмес, кардардын маршруттоо таблицасын окуңуз. Пулду гана камтыган маршрут түртүү келбегенин билдирет, ал эми туннель аркылуу демейки маршрут бул талаптан кененирээк жана кийин сизди таң калтырат. Масканы да, префиксти да текшериңиз, анткени /25ти /24 катары түртүү коңшу даректердин трафигин аны көтөрө албаган жолго жиберет. Андан соң кардар ошол адресат үчүн туннель интерфейсин тандаганын ырастаңыз.

Селекторлор кардар пулун камтысын

Кардар даректерин сактаган маршрутталган кирүү үчүн IPsec саясаты пул менен алыскы префикстин ортосундагы трафикти коргоого тийиш. Шлюздун өз LANы үчүн жазылган селекторлор pingди өткөрүп, кардардын сурамын таштайт, жана дал ушул асимметрия бул текшерүүнү баштаган.

Келишилген саясатты жана бапталган сунуштарды караңыз, мисалы strongSwanда ipsec statusall же сиздин ишке ашырууңуз үчүн барабар абал буйругу менен. Саясатка негизделген IPsecте кадимки маршрут физикалык интерфейске көрсөтүшү мүмкүн, ал эми туура келген трафик дагы эле шифрленет, ошондуктан туннель түзмөгүнүн жоктугу эч нерсени далилдебейт. Селектор жуптарын сиз жазып алган пул жана префикс менен салыштырыңыз.

Шлюздеги жалпы башат-NAT да дал келүүнү буза алат. Эгер masquerade эрежеси саясатты текшерүүдөн мурун кардардын башатын кайра жазса, пакет мындан ары сиз жазган селекторго окшошпойт. Кенен masquerade эрежесинин экинчи VPN үчүн начар оңдоо болушунун бир себеби ушул: ал кайсы саясаттын колдонуларын жана алыскы тарап кайсы даректи жазарын өзгөртөт. Маршруттагыңыз келген трафикти бошотуңуз, же аны атайын которуп, селекторлорду жаңыртыңыз.

Маршруттоону же которууну атайын тандаңыз

Маршруттоо кардардын дарегин алыскы тарапка көрүнүктүү кармайт, ошондуктан алыскы журналдар менен ар бир башат боюнча эрежелер маанилүү бойдон калат, жана алыскы шлюз пулга кайтуу жолун билүүсүн талап кылат. Которуу пулду бир даректин артына жашырат, бул кайтуу жолу маселесин жоёт жана ар бир кардардын инсандыгын жок кылат.

Бир дизайн тандап, аны жазып коюңуз, анткени экөөнө ар башка селекторлор жана ар башка firewall тартиби керек. Жарым колдонулган masquerade алардын ортосунда калып, экөөнү тең канааттандырбайт. Жазылган тандоо — кийинки инженерге катаны атайын чечимден ажыратууга мүмкүндүк берген нерсе.

Өткөрүп берүү жана жооп боюнча циклди жабыңыз

Шлюз сиз көздөгөн протокол менен даректи өткөрүп бериши керек, бул күйгүзүлгөн IP өткөрүп берүүнү жана жупка уруксат берген өткөрүп берүү чынжырын билдирет. Андан соң алыскы тарап жоопторду IPsec жолу менен артка жибериши керек, жана бул алардын шлюзүндөгү маршруттоо чечими, сиздики эмес. Эки жарым тең кадимки конфигурация, жана экөөнү тең жарым бүтпөй таштоо оңой. Аларды өзүнчө текшериңиз, ошондо жетишпеген өткөрүп берүү эрежеси бузулган туннель деп кабыл алынбайт.

Бир чыныгы кардардан колдонмого сурам менен текшериңиз, анын OpenVPN интерфейсинен, IPsec чечиминен жана алыскы хосттон өтүшүн байкаңыз. Жоопту өзүнчө байкоо катары караңыз, анткени келип жеткен сурам менен эч качан кайтпаган жооп кардардын ордунан бирдей көрүнөт. Бир изилденген сурам шлюзден канча ping жасалса да кымбат.

Сыноо учурунда адресаттын уруксатын тар кармаңыз жана эрежесиз кардар кызматка жете албастыгын ырастаңыз. Орнотулган маршрут жана түзүлгөн ассоциация берилген кирүү менен бирдей эмес.