Access Server tinklų sietuvo naudotojas: kliento filialo LAN maršrutizavimas

Galite pinginti OpenVPN kliento tunelio adresą ir vis tiek nepasiekti nė vieno pagrindinio kompiuterio LAN tinkle už jo. Access Server suteikia klientui adresą iš VPN telkinio, o telkinio adresas yra viskas, ką serveris laiko savo. Filialo priešdėlis yra atskiras faktas, kurį reikia deklaruoti, ir net tada filialui reikia persiuntėjo, o būstinei – grįžimo kelio. Netinkamoje vietoje įrašytas maršrutas atrodo kaip sprendimas ir nieko nekeičia.

Du adresai, du skirtingi nuosavybės teiginiai

Kai klientas prisijungia, Access Server priskiria jam adresą iš sukonfigūruoto VPN telkinio, pavyzdžiui, 10.90.0.0/24. Tas priskyrimas yra vieno pagrindinio kompiuterio nuoma. Jungtis nesako, kad tas pats klientas stovi ir prieš 10.60.0.0/24, o serveris nespės: LAN priešdėlis pasiekiamas per konkretų klientą tik jei administratorius jį deklaruoja.

Todėl statinis maršrutas kitame kompiuteryje nepadeda. Maršrutas sako siųsti 10.60.0.0/24 šiuo adresu, bet jei adresas priklauso klientui, kuris niekada nebuvo pažymėtas kaip sietuvas, serveris neturi priežasties tiekti ten tuos paketus, o kliento dėklas gali juos išmesti. Deklaracija ir maršrutas yra dvi vieno mechanizmo pusės.

Ką iš tikrųjų įdiegia sietuvo nustatymas

Admin Web UI deklaracija yra naudotojo savybė: įjunkite Configure VPN gateway jungties naudotojui ir įveskite tikrąjį filialo priešdėlį lauke Network on the VPN client side. Tas naudotojas autentifikuojamas kaip ir kiti, todėl jam reikia prisijungimo duomenų politikos, tinkančios prietaisui be priežiūros, o jo automatinio prisijungimo profilis yra paslaptis, ne patogumo failas.

Už šio langelio serveris laiko priešdėlį pasiekiamu per to kliento telkinio adresą, o maršrutizavimo konfigūracija skiltyje Access Controls nusprendžia, kas pranešama kitiems klientams: maršrutai, siunčiami paprastiems klientams, ir prieigos taisyklės, leidžiančios srautą iš būstinės tinklų į klientų adresus ir potinklius. Įjunkite maršrutizavimą tinklams, kurie turi pasiekti filialą, ir laikykite leidžiamų tinklų sąrašą trumpą.

Community stiliaus direktyva, įklijuota į sugeneruotą failą, šiame modelyje nedalyvauja. Produktas valdo maršrutizavimo lentelę, kurią siunčia; ranka taisyta eilutė perrašoma kitos generacijos metu arba ignoruojama.

Užbaikite abiejų tinklų grįžimo kelius

Konkretus planas: būstinė 10.40.0.0/24, filialas 10.60.0.0/24, VPN telkinys 10.90.0.0/24, o Access Server pasiekiamas privačiu adresu būstinės pusėje. Būstinės maršrutizatoriui reikia maršrutų filialo priešdėliui ir telkiniui, abu į Access Server. Be jų tunelis neša užklausą, o atsakymas išeina per numatytąjį sietuvą, todėl susidaro klasikinė pusiau atvira jungtis.

Filiale jungtis turi persiųsti paketus, kurie nėra adresuoti jai: IP persiuntimas operacinėje sistemoje ir persiuntimo leidimas, apribotas tunelio bei LAN sąsajomis; Linux atveju tai net.ipv4.ip_forward=1 su forward grandinės taisyklėmis, Windows – routing and remote access. Tada filialo kompiuteriams reikia grįžimo kelio: arba jungtis yra jų numatytasis sietuvas, arba esamas sietuvas neša konkrečius maršrutus būstinės ir telkinio priešdėliams.

Pačios jungties maršrutizavimo lentelė neperkonfigūruoja kiekvieno filialo LAN kompiuterio. Jei kompiuteriai nurodo kitą maršrutizatorių, grįžimo maršrutai priklauso ten, ir jis turi pripažinti, kad matomas šaltinio adresas nėra vietinio potinklio kaimynas.

Skaitykite gedimą kaip kelią, ne kaip leidimą

Tikrinkite fiksuota tvarka. Pirma leidžiama paslauga iš Access Server į filialo kompiuterį, paskui ta pati paslauga iš paprasto būstinės kompiuterio, paskui atvirkštinė kryptis, jei politika leidžia. Jei pirmasis praeina, o antrasis nepavyksta, kalti siunčiami maršrutai arba prieigos taisyklės. Jei abu praeina, bet atsakymų nėra, tikrinkite persiuntimą filiale ir grįžimo maršrutą būstinėje.

Kitas įtariamasis – kompiuterio užkarda, nes maršrutizuotos prieigos atveju paskirties vieta mato būstinės arba telkinio adresą kaip šaltinį. Vietiniam potinkliui parašyta taisyklė netiks, ir paketas išmetamas po to, kai maršrutizavimas veikė nepriekaištingai.

Du sprendimai reikalauja daugiau. Persidengiantys priešdėliai tarp vietų daro paskirties vietą dviprasmišką ir reikalauja pernumeravimo arba vertimo, o klasterinis Access Server reikalauja, kad kiekvienas mazgas turėtų veikiantį kelią į filialo jungtį, o ne vienas mazgas laikytų maršrutą. Taikykite pakeitimus įprastu išsaugojimo ir atnaujinimo keliu, iš naujo prijunkite jungtį ir patikrinkite iš abiejų galų; visiškas kiekvieno kompiuterio perkrovimas nėra procedūros dalis.

Access Server site-to-site mokymo programa išvardija tuos pačius nustatymus produkto tvarka; verta ja pasinaudoti kartą prieš pritaikant sprendimą savo priešdėliams.