Access Server шлюзийн хэрэглэгч: клиентийн салбарын LAN-ыг чиглүүлэх

OpenVPN клиентийн туннелийн хаяг руу ping хийж болох ч ард нь байгаа LAN-ын ямар ч хост руу хүрэхгүй. Access Server клиентэд VPN пулаас хаяг өгдөг бөгөөд пулын хаяг нь серверийн өөрийн гэж мэдэх цор ганц зүйл. Салбарын префикс тусад нь зарлах ёстой бөгөөд түүний дараа ч салбарт дамжуулагч, төв оффист буцах зам хэрэгтэй. Буруу газар бичсэн зам шийдэл мэт харагдана, юу ч өөрчлөхгүй.

Хоёр хаяг, хоёр өөр эзэмшлийн шаардлага

Клиент холбогдоход Access Server тохируулсан VPN пулаас хаяг өгнө, жишээ нь 10.90.0.0/24. Энэ хуваарилалт нэг хостод өгөх түрээс. Мөн клиент 10.60.0.0/24-ийн өмнө ч байгааг холболт хэлэхгүй, сервер таамаглахгүй: LAN префикс зөвхөн администратор зарласан тохиолдолд тодорхой клиентээр хүрнэ.

Тиймээс өөр машин дээрх статик зам ажиллахгүй. Зам 10.60.0.0/24-ийг энэ хаяг руу илгээ гэж хэлдэг ч хаяг нь шлюз гэж тэмдэглэгдээгүй клиентийнх бол сервер пакетыг тэнд хүргэх шалтгаангүй, клиентийн стек хаяж болно. Зарлал ба зам нэг механизмын хоёр хагас.

Шлюзийн тохиргоо яг юу суулгадаг вэ

Admin Web UI-д зарлал нь хэрэглэгчийн шинж: connector хэрэглэгч дээр Configure VPN gateway-ийг асааж, салбарын бодит префиксийг Network on the VPN client side-д оруулна. Тэр хэрэглэгч бусадтай адил баталгаажих тул хяналтгүй төхөөрөмжид тохирох итгэмжлэлийн бодлого хэрэгтэй, авто нэвтрэх профайл нь нууц.

Тэр хайрцгийн ард сервер префиксийг тухайн клиентийн пулын хаягаар хүрэх боломжтой гэж үзэж, Access Controls доорх чиглүүлэлтийн тохиргоо бусад клиентэд юу мэдэгдэхийг шийднэ: энгийн клиент рүү илгээх зам, төв оффисын сүлжээнээс клиентийн хаяг, дэд сүлжээ рүү урсгалыг зөвшөөрөх дүрэм. Салбар руу хүрэх ёстой сүлжээнд чиглүүлэлтийг асааж, зөвшөөрсөн жагсаалтыг богино байлга.

Үүсгэсэн файлд наасан Community хэв маягийн заавар энэ загварт оролцохгүй. Бүтээгдэхүүн илгээдэг чиглүүлэлтийн хүснэгтээ эзэмшинэ; гараар зассан мөрийг дарж бичих эсвэл үл тоомсорлоно.

Хоёр сүлжээний буцах замыг гүйцээ

Төлөвлөгөө: төв оффис 10.40.0.0/24, салбар 10.60.0.0/24, VPN пул 10.90.0.0/24, Access Server нь төв оффисын талын хувийн хаягаар хүрэх боломжтой. Төв оффисын чиглүүлэгчид салбарын префикс ба пулын зам хэрэгтэй, хоёулаа Access Server руу. Байхгүй бол хариу анхдагч шлюзээр гарна, энэ нь хагас нээлттэй холболт үүсгэнэ.

Салбарт connector өөрт нь хаяглаагүй пакетыг дамжуулна: OS-д IP дамжуулалт ба туннель, LAN интерфейсээр хязгаарлагдсан зөвшөөрөл; Linux-д net.ipv4.ip_forward=1 forward гинжин дүрэмтэй, Windows-д routing and remote access. Дараа нь хостод буцах зам хэрэгтэй: connector нь анхдагч шлюз, эсвэл одоогийн шлюз тусгай замыг агуулна.

Connector-ийн чиглүүлэлтийн хүснэгт салбарын LAN-ын хост бүрийг дахин тохируулахгүй. Хост өөр чиглүүлэгч рүү заасан бол буцах замууд тэнд хамаарна, тэр нь харж буй эх хаяг орон нутгийн дэд сүлжээний хөрш биш гэдгийг хүлээнэ.

Алдааг зам гэж унш, зөвшөөрөл гэж биш

Тогтсон дарааллаар шалга. Эхлээд Access Server-ээс салбарын хост руу зөвшөөрөгдсөн үйлчилгээ, дараа нь төв оффисын энгийн хостоос мөн үйлчилгээ, дараа нь бодлого зөвшөөрвөл эсрэг чиглэл. Эхнийх нь дамжиж, хоёр дахь нь бүтэлгүйтвэл илгээсэн зам эсвэл хандалтын дүрэм буруутай. Хоёулаа дамжиж хариу ирэхгүй бол салбарын дамжуулалт ба төв оффисын буцах замыг шалга.

Хостын firewall дараагийн сэжигтэн, учир нь чиглүүлсэн хандалтад очих газар эх сурвалж гэж төв оффис эсвэл пулын хаяг харна. Орон нутгийн дэд сүлжээнд зориулсан дүрэм тохирохгүй, пакет хаягдана.

Хоёр загварт илүү их хэрэгтэй. Давхцах префикс очих газрыг тодорхойгүй болгож, дахин дугаарлалт эсвэл орчуулга шаардана; кластер Access Server-т зам нэг зангилаанд байхын оронд зангилаа бүр салбарын connector руу ажиллах замтай байх ёстой. Өөрчлөлтийг ердийн хадгалах, шинэчлэх замаар хэрэгжүүлж, connector-ийг дахин холбож, хоёр талаас дахин шалга; бүх машиныг бүрэн restart хийх нь журамд орохгүй.

Access Server-ийн site-to-site заавар мөн тохиргоог бүтээгдэхүүний дарааллаар жагсаана; өөрийн префикст тохируулахын өмнө нэг удаа дагах нь зүйтэй.