Firwat Access Server-Clients aus dem LAN net erreechbar sinn

Den Laptop verbënnt, den Tunnel ass aktiv, a Ufroe fir en internen Service hänken um Verbëndungsaufbau. Um Service selwer kënnt d’Ufro vun enger Adress wéi 10.90.0.25, d’Äntwert geet Richtung Standardgateway eraus, an et kënnt näischt zréck, well dee Gateway net weess, wou 10.90.0.25 läit. Vun der anerer Säit gesäit dee selwechte Feeler aus wéi en internen Host, deen e verbonnenen Client net pingéiere kann. Béid sinn een eenzegt fehlendt Objet: eng Zréckroute zum VPN-Client-Pool, déi nëmmen dat privat Netzwierk derbäisetze kann.

Liest d’Quelladress, déi de Service gesäit

Dee eenzelt Feld entscheet alles anescht. Wann den internen Service d’Pooladress gesäit, routéiert den Access Server, anstatt de Clienttrafic ze verstoppen, an all Äntwert muss zréck an de Pool geroutéiert ginn. Wann en awer dem Server seng eege privat Adress gesäit, maskéiert de Server an de Zréckwee fonctionéiert schonn, awer op Käschte vun alle Client-Identitéiten an de Loggen an Access-Reegelen vum Service.

Vergläicht béid Enner, ier Dir eppes ännert. Um Server, lëscht d’Tunnelinterfacen an hir Adressen op; um Client, bestätegt wéi eng vun dësen Adressen en tatsächlech huet; um internen Host, kuckt eng aktiv Verbëndung un.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Dee leschte Befehl ass deen, deen am futti Fall feelt: entweder mellt en de Tunnelprefix als net erreechbar oder, nach méi schlëmm, gëtt Äre Standardgateway zréck, an esou landen d’Äntwerten um Internet.

Gitt net dovun aus, dass et nëmmen een Pool gëtt. E Server kann eng dynamesch Range plus statesch Mappinge pro Benotzer hunn, an d’statesch Adress kann komplett ausserhalb vum dynamesche Prefix leien. Wann Dir nëmmen d’Range routéiert, un déi Dir Iech erënnert, bleiwe Benotzer mat festen Adressen futti an all déi aner mellen de Problem als geléist.

Setzt d’Route do bäi, wou d’Äntwert entscheet gëtt

D’Route gehéiert zum Gateway, deen den internen Service scho benotzt, net zum Service, ausser en routéiert säin eegenen Trafic. Richt se op d’erreechbar privat Adress vum Access Server, déi eng aner Wäert ass wéi d’Tunneladress vun engem Client.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

An engem Cloudnetzwierk gëtt déi selwecht Ausso en Entrag an der Routentabell, deem säin Zil d’Instanz oder de Netzwierkinterface ass, op deem de Server leeft, mam Quell- a Zilcheck deaktivéiert op deem Interface. Notéiert, wat deen Entrag net mécht: eng Route ass keng Access-Genehmegung, dofir mussen Sécherheetsgruppen, Netzwierk-ACLen an d’Host-Firewall den Trafic nach ëmmer erlaben.

Maacht se permanent, a haalt d’Poolgréissten éierlech. Zwee net ugrenzend Poole brauche zwou Routen, an e Pool, deen iwwer säi konfiguréierte Prefix erauswuessst, produzéiert stëll Clients, deenen hir Äntwerten néierens hikënnen. Wann Dir d’Poolberäicher kontrolléiert, wielt eng Zesummefaassung, déi Dir eemol routéiere kënnt an da berouegt loosst.

Weiderleitung a Filtere mussen zur Route passen

Routing ass nëmmen déi halscht Streck. De Server muss tëschent dem Tunnel an dem private Interface weiderleeden däerfen, wat op Linux net.ipv4.ip_forward plus eng Weiderleitungsketten heescht, déi d’Interfacepaar erlaabt, an op engem gehäerte Host dacks eng explizit Regel fir all Richtung.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Stateful Filteren erkläert en Symptom, dat d’Leit op de falsche Wee schéckt. Eng Äntwert bannent engem etabléierte Flow brauch keng nei Inbound-Regel, dofir gëtt eng Verbëndung, déi no dem SYN-ACK hänkt, net duerch eng feelend Accept-Regel blockéiert; se gëtt verdrësselecht oder falsch geroutéiert. Haalt dës Ënnerscheedung fest, well se eng Routingännerung vun enger Firewallännerung trennt.

Asymmetresch Zréckweeër sinn déi méi roueg Versioun vum selwechte Problem. Wann zwou Routen de Pool erreechen an d’Äntwert déi hëlt, déi iwwer en anert Interface erausgeet wéi dat, op deem d’Ufro ukomm ass, da verwërft strikt Reverse-Path-Filteren se, an de Flow feelt nëmme bei e puer Clients.

Geroutéiert oder maskéiert: wielt bewosst

De gerouteten Modus konservéiert d’Pooladress vum Client um Service, wat Logging a Politik pro Client méiglech mécht, an am Géigenzuch brauch all internen Netzwierk, deen engem Client äntwere muss, d’Poolroute. De maskéierte Modus hëlt déi Fuerderung ewech, well d’Äntwerten zum Server zréckkommen, awer de Service kann een Client net méi vun engem aneren ënnerscheeden a kann näischt a Richtung vun engem bestëmmte Client initiéieren.

Dëst Verhalen op engem lafende Server ze änneren trennt déi existéierend Sessiounen of, dofir test als éischt mat engem Client an engem Flow. Wann den Ëmstieft déi richteg Äntwert ass, ass et eng Konfiguratiounsentscheedung um Server, net eppes, wat een ëmgeet andeems een Routen derbäisetzt, déi duerno iwwerflësseg ginn.

En Subnetz hannert dem Client ass eng separat Aufgab

En Apparat am eegene LAN vum Laptop erreechen ass net datselwecht wéi d’Tunneladress vum Laptop z’erreechen. Et verlaangt, dass de Client als Subnetz-Gateway funktionéiert: en deklaréierte Client-Säit-Netzwierk, Weiderleitung am Betribssystem vum Client aktivéiert, an eng Route an deem LAN zréck zum Client. Eng Privatnetzroute fir de Heemcomptoir vum Laptop bäisetzen mécht dat net, an et schaaft Konflikter, wann zwee Benotzer deen selwechte Heemcomptoir hunn.

D’Richtung ass och eng Politikfro. D’Erlabnes fir e Client, eng Verbëndung zu engem internen Service opzemaachen, erlaabt engem internen Host net automatesch, eng Verbëndung zu deem Client opzemaachen. Préift d’Access-Politik vum Server an d’Host-Firewall vum Client, ier Dir schléisst, dass de Wee futti ass.

Verifizéiert mat engem Flow an enger Opnam

Beweist de Wee mat enger eenzeger Verbëndung amplaz engem allgemenge Erreechbarkeetstest. Observéiert dee selwechte Flow op béiden Enner: d’Ufro, déi um Service ukënnt, an d’Äntwert, déi en verléisst.

tcpdump -ni any host 10.90.0.25 and port 443

Virun der Korrektur weist d’Opnam d’Äntwert, déi Richtung engem Gateway erausgeet, deen se net routéiere wäert. No der Korrektur geet d’Äntwert Richtung Server eraus an de Flow gëtt fäerdeg. Bestätegt duerno d’Route, déi de Gateway fir eng zweet Clientadress benotze géif, esou datt e Pool, deen Dir net ofgedeckt hutt, elo opfält an net an enger Woch.

Schlësst mat de véier Kontrollen of, déi d’Saach ofschléissen: d’Quelladress um Service entsprécht dem Modus, deen Dir virgesinn hutt, de Gateway huet eng Route zu all Pool a Gebrauch, Weiderleitung a Filteren erlaben béid Richtungen, an een echte Flow leeft vun Ufank bis Enn duerch. Heefeg Froen zum Routing vum Access Server seet deeselwechte Prinzip fir déi installéiert Versioun, deenen hir ënnerstëtzt Konfiguratiounsschnittstell vun eelere Guide kënnen ofwäichen.