Firwat OpenVPN-Cliente missen d’IPsec-Selecteure vum Gateway

Ping engem Host hannert dem wäitem IPsec-Tunnel vum Gateway an hie äntwert propper, sou datt den Tunnel gesond ausgesäit an den Ticket viru geet. Duerno probéiert en ugeschlossene Client deen selwechten Host a kritt näischt zréck. Dee Ping war ni e Beweis fir de Floss vum Client, well en mat der eegener Quelladress vum Gateway fortgaang ass an engem aneren IPsec-Selecteur entsprach. Ze verstoen, firwat déi zwou Fäll ausernee ginn, ass de gréissten Deel vun der Léisung.

De Ping vum Gateway testt e Floss, deen Äre Client ni benotzt

D’Quelladress entscheet, wéi eng Politik gëllt. E Pak, deen um Gateway entsteet, geet mat enger Adress aus sengem lokalen LAN oder vu sengem Tunnelendpunkt fort, an d’Politik, déi dozou passt, gouf genee fir dee Fall geschriwwen. D’Pak vun engem Client kënnt op der OpenVPN-Schnittstell mat enger Adress aus dem Clientpool un, wat en ganz aneren Selecteur ass.

Dofir gesäit de Feeler wéi e Routingproblem aus, wärend en tatsächlech e Problem vum Politikberäich ass. D’Erreechbarkeet vum Gateway beweisegt, datt de Peer leeft an d’Proposen ausgehandelt goufen, an et beweisegt näischt doriwwer, ob de Pool geschützt ass.

Push de wäite Prefix, deen d’Applikatioun tatsächlech brauch

Huelt dat illustrativt Puer 10.8.0.0/24 fir ugeschlossen Clienten an 172.30.239.0/25 fir de geschützte wäite Reseau. Wat e Client brauch, ass eng Route op deen zweeten Prefix, net op de LAN vum Gateway an net op eng aner Tunneladress. Eng Route, déi an de Pool gepusht gëtt, ass et, déi de Client dee Verkéier iwwerhaapt un de Gateway iwwergi. Ouni si erreecht de Pak ni déi Politikentscheedung, déi Dir debuggt.

Op engem Community-Server, deen déi gepushte Route akzeptéiert, hëlt d’Direktiv déi richteg Mask: push "route 172.30.239.0 255.255.255.128". Access Server konfiguréiert déi selwecht Destinatioun iwwer d’Astellunge fir privaten Netz oder d’Zougangsregele vun der installéierter Versioun, mam gerouteten oder iwwersetzte Modus bewosst gewielt. Generéiert Firewallketten ze änneren anstatt d’Eegnerkonfiguratioun ass de Wee, wéi eng funktionéierend Installatioun onméiglech ze reproduzéieren gëtt.

Liest no dem Verbannen d’Routetabell vum Client an net dem Server seng Absicht. Eng Route, déi nëmmen de Pool deckt, heescht, datt de Push ni ukomm ass, an eng Standardroute duerch den Tunnel ass méi breet wéi dës Ufuerderung an iwwerrascht Iech méi spéit. Kontrolléiert d’Mask souwéi de Prefix, well eng /25, déi als /24 gepusht gëtt, de Verkéier fir Nopeschadressen an e Wee schéckt, deen en net droe kann. Bestätegt duerno, datt de Client d’Tunnelschnittstell fir déi Destinatioun gewielt huet.

Maacht, datt d’Selecteuren de Clientpool enthalen

Fir gerouteten Zougang, deen d’Clientadressen erhält, muss d’IPsec-Politik de Verkéier tëschent dem Pool an dem wäite Prefix schützen. Selecteuren, déi fir dem Gateway säin eegene LAN geschriwwe goufen, loossen de Ping duerch a verwerfen dem Client seng Ufro, an dat ass genee déi Asymmetrie, déi dës Enquête ugefaangen huet.

Ënnersicht déi ausgehandelt Politik souwéi déi konfiguréiert Proposen, zum Beispill mat ipsec statusall op strongSwan oder dem gläichwäertege Statuskommando fir Är Implementatioun. Bei politikbaséiertem IPsec kann déi gewéinlech Route op eng physesch Schnittstell weisen, wärend de passende Verkéier nach ëmmer verschlësselt gëtt, also beweisegt en feelenden Tunnelapparat näischt. Vergläicht d’Selecteurpaaren mam Pool an dem Prefix, déi Dir opgeschriwwen hutt.

Generesche Quell-NAT um Gateway kann d’Iwwereneestëmmung och briechen. Wann eng masquerade-Reeg d’Quell vum Client virun der Politikpréifung ëmschreift, gesäit de Pak net méi wéi de Selecteur aus, deen Dir geschriwwen hutt. Dat ass ee Grond, firwat eng breet masquerade-Reeg eng schlecht Léisung fir en zweeten VPN ass: si ännert, wéi eng Politik gëllt a wéi eng Adress déi wäit Säit loggt. Nëmmt de Verkéier aus, deen Dir wëllt routen, oder iwwersetzt en bewosst a maacht d’Selecteuren aktuell.

Wielt bewosst Routing oder Iwwersetzung

Routing hält d’Clientadress fir déi wäit Säit sichtbar, sou datt wäit Loggen a Reegele pro Quell sënnvoll bleiwen, an et verlaangt, datt de wäite Gateway de Réckwee op de Pool kennt. Iwwersetzung verstoppt de Pool hannert enger Adress, wat de Problem vum Réckwee ewech hëlt an d’Identitéit pro Client zerstéiert.

Wielt ee Konzept a schreift et op, well déi zwou verschidde Selecteuren a verschidde Firewalluerdnung brauchen. Eng hallef ugewannte masquerade läit dozwëschent an erfëllt keng vun deenen zwou. Déi opgeschriwwen Wiel ass och dat, wat den nächsten Ingenieur e Feeler vun enger bewosster Entscheedung ënnerscheede léisst.

Schléisst de Kräis iwwer d’Forwarding an d’Äntwert

De Gateway muss de Protokoll an d’Destinatioun forwarden, déi Dir virgesitt, dat heescht ageschalt IP-Forwarding an eng Forwardketten, déi d’Puer erlaabt. Duerno muss déi wäit Säit d’Äntwerten iwwer de IPsec-Wee zréckschécken, an dat ass eng Routingentscheedung op hirem Gateway an net op Ärem. Béid Hälften si gewéinlech Konfiguratioun, a béid bleiwen einfach hallef fäerdeg. Test se getrennt, sou datt eng feelend Forwardregele net fir en ënnerbrachsten Tunnel gehale gëtt.

Verifizéiert mat enger richteger Ufro vu Client op Applikatioun, a kuckt, wéi se d’OpenVPN-Schnittstell, d’IPsec-Entscheedung an den wäiten Host passéiert. Ënnersicht d’Äntwert als eng separat Observatioun, well eng Ufro déi ukënnt an eng Äntwert déi ni zréckkënnt vum Client sengem Sëtz aus gläich ausgesinn. Eng verfollegt Ufro ass méi wäert wéi egal wéi vill Pinge vum Gateway.

Halt d’Autorisatioun vun der Destinatioun enk, wärend Dir testt, a bestätegt, datt e Client ouni d’Reegel de Service net erreeche kann. Eng installéiert Route plus eng opgeriicht Associatioun ass net datselwecht wéi en Zougang, deen accordéiert gouf.