Access Server-Gateway-Benotzer: d'LAN vun der Filial vun engem Client route

Dir kënnt d'Tunneladress vun engem OpenVPN-Client pingen an awer keen Host op der LAN hannendrun erreechen. Access Server gëtt dem Client eng Adress aus dem VPN-Pool, an d'Pooladress ass alles, wat de Server als säin eegent kennt. De Prefix vun der Filial ass eng separat Tatsaach, déi deklaréiert muss ginn, an och dann brauch d'Filial en Iwwerleefer an de Sëtz e Réckwee. Eng Route op der falscher Plaz gesäit aus wéi eng Léisung an ännert näischt.

Zwou Adressen, zwee verschidde Besëtz-Uspriechen

Wann e Client sech verbënnt, gëtt Access Server him eng Adress aus dem konfiguréierte VPN-Pool, zum Beispill 10.90.0.0/24. Dës Zesummestellung ass eng Locatioun fir een Host. Näischt an der Verbindung seet, datt dee selwechte Client och virun 10.60.0.0/24 steet, an de Server wäert net roden: e LAN-Prefix ass nëmmen iwwer e bestëmmte Client erreechbar, wann en Administrateur en deklaréiert.

Dofir hëlleft eng statesch Route op enger anerer Maschinn net. D'Route seet schéck 10.60.0.0/24 op dës Adress, awer wann d'Adress engem Client gehéiert, dee ni als Gateway markéiert gouf, huet de Server kee Grond, dës Paketen dohin ze liwweren, an de Stack vum Client kann se verwerfen. D'Deklaratioun an d'Route sinn zwou Halschent vun engem Mechanismus.

Wat d'Gateway-Astellung tatsächlech installéiert

An der Admin Web UI ass d'Deklaratioun eng Benotzer-Eegeschaft: aktivéiert Configure VPN gateway beim Connector-Benotzer an gitt de richtege Filialprefix an Network on the VPN client side an. Dee Benotzer gëtt wéi all aner authentifizéiert, dofir brauch en eng Umeldungs-Politik, déi zu engem Apparat ouni Iwwerwaachung passt, an säi Auto-Login-Profil ass e Geheimnis, net eng Komfortsdatei.

Hannert dëser Këscht behandelt de Server de Prefix als iwwer d'Pooladress vun deem Client erreechbar, an d'Routing-Konfiguratioun ënner Access Controls entscheet, wat den anere Cliente gesot gëtt: d'Routen, déi un normal Clienten geschéckt ginn, an d'Zougriffsregelen, déi den Trafic aus de Sëtz-Netzwierker op Clientadressen an Ënnersubneter erlaben. Aktivéiert Routing fir d'Netzwierker, déi d'Filial solle erreechen, a haalt d'Lëscht vun den erlabten Netzwierker kuerz.

Eng Community-Direktiv, déi an eng generéiert Datei agefougt gëtt, hält net un dësem Modell deel. D'Produkt besëtzt d'Routingtabell, déi et schéckt; eng vun Hand geännert Linn gëtt bei der nächster Generatioun iwwerschriwwen oder ignoréiert.

Kompletéiert béid Réckweeër vun den Netzwierker

E konkrete Plang: Sëtz 10.40.0.0/24, Filial 10.60.0.0/24, VPN-Pool 10.90.0.0/24, an Access Server erreechbar op enger privater Adress op der Sëtz-Säit. De Router vum Sëtz brauch Routen fir de Filialprefix an de Pool, béid Richtung Access Server. Ouni si dréit den Tunnel d'Fro an d'Äntwert geet iwwer de Standard-Gateway eraus, wat déi klassescher hallef-opene Verbindung gëtt.

An der Filial muss den Connector Paketen, déi net un hien adresséiert sinn, weiderleeden: IP-Weiderleedung an sengem Betribssystem plus eng Weiderleedungs-Erlaabnis, limitéiert op Tunnel- an LAN-Interface; op Linux ass et net.ipv4.ip_forward=1 mat de Regele vun der Forward-Kette, op Windows ass et routing and remote access. Duerno brauchen d'Hoste vun der Filial e Réckwee: entweder ass den Connector hire Standard-Gateway, oder de bestehende Gateway dréit spezifesch Route fir d'Prefixe vum Sëtz an dem Pool.

D'Routingtabell vum Connector konfiguréiert net all Host op der Filial-LAN nei. Wann d'Hoste op en anere Router weisen, gehéieren d'Réckweeër dohin, an en muss akzeptéieren, datt d'Quelladress, déi en gesäit, keen Noper am lokalen Ënnersubnet ass.

Liest en Ausfall als Wee, net als Erlaabnis

Test an enger fester Reihenfolg. Fir eng erlaabte Service vum Access Server op en Host an der Filial, dann déiselwecht Service vun engem normale Sëtz-Host, dann déi aner Richtung, wann d'Politik et erlaabt. Wann dat éischt duerchgeet an dat zweet feelt, sinn d'Route vum Server oder d'Zougriffsregele schold. Wann béid duerchginn, awer keng Äntwerten kommen, ënnersicht d'Weiderleedung an der Filial an de Réckwee um Sëtz.

D'Host-Firewall ass den nächsten Verdacht, well bei geroutetem Zougriff d'Zil eng Adress vum Sëtz oder dem Pool als Quell gesäit. Eng Regel, déi fir de lokalen Ënnersubnet geschriwwe gouf, passt net, an de Paket gëtt verwerft, nodeems d'Routing perfekt funktionéiert huet.

Zwee Designe brauchen méi. Iwwerlappend Prefixe tëschent de Standuerter maachen d'Zil onkloer a verlaangen eng Neinummeréierung oder Iwwersetzung, an en Access Server am Cluster brauch vun all Knäip eng funktionéierend Streck op de Filial-Connector, net ee Knäip, deen d'Route hält. Ännert iwwer de normale Wee vum Späicheren an Aktualiséieren, verbënnt den Connector nei a verifizéiert nach eng Kéier vun deenen zwou Säiten; en komplette Neistart vun all Maschinn ass keen Deel vum Prozedur.

Den Site-to-Site-Tutorial vum Access Server listet déiselwecht Astellungen an der Produkt-Reihenfolge; et ass derwäert, en eemol ze befollegen, ier Dir den Design un Är eege Prefixe upasst.