OpenVPN клиентүүд гарцын IPsec селекторуудад хүрч чадахгүй байгаа шалтгаан

Гарцаас алслагдсан IPsec туннелийн ард байгаа хост руу ping илгээхэд цэвэрхэн хариулдаг тул туннель эрүүл харагдаж, тасалбар урагшилна. Дараа нь холбогдсон клиент мөн хост руу оролдох боловч юу ч буцаж ирэхгүй. Тэр ping нь клиентийн урсгалын нотолгоо хэзээ ч байгаагүй, учир нь гарцын өөрийн эх хаягаар гарч, өөр IPsec селектортой таарсан. Энэ хоёр тохиолдол яагаад ялгаатай болохыг ойлгох нь засварын ихэнх хэсэг юм.

Гарцын ping таны клиент хэзээ ч ашигладаггүй урсгалыг шалгадаг

Аль бодлого хэрэгжихийг эх хаяг шийднэ. Гарц дээр үүссэн пакет нь түүний локал LAN эсвэл туннелийн төгсгөлийн цэгийн хаягаар гарч, түүнд тохирох бодлого яг тэр тохиолдолд зориулж бичигдсэн. Клиентийн пакет OpenVPN интерфейс дээр клиентийн сангийн хаягтай ирдэг бөгөөд энэ нь огт өөр селектор юм.

Тиймээс гэмтэл нь маршрутжуулалтын асуудал мэт харагдах боловч үнэндээ бодлогын хамрах хүрээний асуудал юм. Гарцаас хүрч болох нь түншийн ажиллаж байгаа, саналууд тохиролцсон гэдгийг нотлох боловч сан хамгаалагдсан эсэхийг юу ч нотлохгүй.

Програмд үнэхээр хэрэгтэй алслагдсан префиксийг түлхээрэй

Холбогдсон клиентүүдэд 10.8.0.0/24, хамгаалагдсан алслагдсан сүлжээнд 172.30.239.0/25 гэсэн жишээ хосыг авна уу. Клиентэд хэрэгтэй зүйл бол хоёр дахь префикс рүү хүрэх зам бөгөөд гарцын LAN ч биш, өөр туннелийн хаяг ч биш. Санд түлхэгдсэн маршрут нь клиентийг тэр урсгалыг гарцад өгөхөд хүргэдэг. Үүнгүйгээр пакет таны засварлаж буй бодлогын шийдвэрт хүрэхгүй.

Түлхэгдсэн маршрутуудыг хүлээн авдаг Community сервер дээр заавар бодит маскийг авна: push "route 172.30.239.0 255.255.255.128". Access Server ижил очих газрыг суулгасан хувилбарын хувийн сүлжээ эсвэл хандалтын дүрмийн тохиргоогоор тохируулж, маршрутжсан эсвэл хөрвүүлсэн горимыг санаатайгаар сонгоно. Үүссэн firewall хэлхээг эзэмшигч тохиргооны оронд засварлах нь ажиллаж буй суулгацыг дахин бүтээх боломжгүй болгох зам юм.

Холбогдсоны дараа серверийн санааг биш, клиентийн маршрутжуулалтын хүснэгтийг уншина уу. Зөвхөн санг хамарсан маршрут нь түлхэлт ирээгүй гэсэн үг бөгөөд туннелээр дамжсан өгөгдмөл маршрут энэ шаардлагаас өргөн тул дараа нь таныг гайхшруулна. Маск ба префиксийг хоёуланг нь шалгана уу, учир нь /25-ыг /24 болгон түлхэхэд хөрш хаягуудын урсгал түүнийг дааж чадахгүй зам руу явна. Дараа нь клиент тухайн очих газарт туннелийн интерфейсийг сонгосныг баталгаажуулна уу.

Селекторууд клиентийн санг хамруулдаг болгоорой

Клиентийн хаягыг хадгалдаг маршрутжсан хандалтын хувьд IPsec бодлого сан ба алслагдсан префиксийн хоорондын урсгалыг хамгаалах ёстой. Гарцын өөрийн LAN-д зориулж бичсэн селекторууд ping-ийг нэвтрүүлж, клиентийн хүсэлтийг хаядаг бөгөөд энэ бол яг энэ шалгалтыг эхлүүлсэн тэгш бус байдал юм.

Тохиролцсон бодлого болон тохируулсан саналуудыг шалгана уу, жишээ нь strongSwan дээр ipsec statusall эсвэл таны хэрэгжүүлэлтэд тохирох статус командаар. Бодлогод суурилсан IPsec-д энгийн маршрут физик интерфейс рүү зааж болох боловч тохирох урсгал шифрлэгдсэн хэвээр байдаг тул туннелийн төхөөрөмж байхгүй нь юу ч нотлохгүй. Селекторын хосуудыг таны бичсэн сан ба префикстэй харьцуулна уу.

Гарц дээрх ерөнхий эх-NAT мөн тохирлыг эвдэж болно. Хэрэв masquerade дүрэм бодлогын шалгалтаас өмнө клиентийн эхийг дахин бичвэл пакет таны бичсэн селектор шиг харагдахаа болино. Өргөн masquerade дүрэм хоёр дахь VPN-д муу засвар байхын нэг шалтгаан энэ: аль бодлого хэрэгжих, алслагдсан тал ямар хаяг бүртгэхийг өөрчилдөг. Таны маршрутжуулахаар зорьж буй урсгалыг чөлөөлөх эсвэл санаатайгаар хөрвүүлж, селекторуудыг шинэчилнэ үү.

Маршрутжуулал эсвэл хөрвүүлэлтийг санаатайгаар сонгоорой

Маршрутжуулал нь клиентийн хаягыг алслагдсан талд харагдуулж үлдээдэг тул алслагдсан лог, эх тус бүрийн дүрэм утга учиртай хэвээр байх бөгөөд алслагдсан гарц сан руу буцах замыг мэдэх шаардлагатай. Хөрвүүлэлт санг нэг хаягийн ард нуух бөгөөд энэ нь буцах замын асуудлыг арилгаж, клиент бүрийн таних тэмдгийг устгана.

Нэг дизайн сонгоод бичиж үлдээгээрэй, учир нь хоёулаа өөр селектор, өөр firewall дараалал шаарддаг. Хагас хэрэгжсэн masquerade тэдний хооронд бууж, аль нэгийг ч хангахгүй. Бичсэн сонголт нь дараагийн инженерт алдааг санаатай шийдвэрээс ялгах боломжийг олгодог зүйл юм.

Дамжуулалт ба хариулт дээр циклийг хаагаарай

Гарц нь таны зорьж буй протокол, очих газрыг дамжуулах ёстой, энэ нь IP дамжуулалт асаалттай, хосыг зөвшөөрсөн дамжуулах хэлхээ байхыг хэлнэ. Дараа нь алслагдсан тал хариултуудыг IPsec замаар буцааж илгээх ёстой бөгөөд энэ нь тэдний гарц дээрх маршрутжуулалтын шийдвэр, таных биш. Хоёр хагас нь энгийн тохиргоо бөгөөд хоёуланг нь хагас дутуу үлдээхэд амархан. Тэдгээрийг тусдаа шалгаарай, ингэснээр дутуу дамжуулалтын дүрмийг эвдэрсэн туннель гэж андуурахгүй.

Клиентээс програм руу нэг бодит хүсэлтээр шалгаж, түүнийг OpenVPN интерфейс, IPsec шийдвэр, алслагдсан хост дундуур өнгөрөхийг ажиглаарай. Хариултыг тусдаа ажиглалт гэж үзээрэй, учир нь ирж буй хүсэлт ба хэзээ ч буцаж ирэхгүй хариулт клиентийн суудлаас ижил харагддаг. Нэг мөрдсөн хүсэлт гарцаас хийсэн хичнээн ping-ээс ч илүү үнэ цэнэтэй.

Туршилтын үеэр очих газрын зөвшөөрлийг нарийн байлгаж, дүрэмгүй клиент үйлчилгээнд хүрч чадахгүйг баталгаажуулаарай. Суулгасан маршрут ба тогтоосон ассоциаци нь олгосон хандалттай ижил зүйл биш.