Access Server-ийн клиентүүд LAN-аас яагаад хүрэхгүй байна

Зөөврийн компьютер холбогдож, туннель өргөгдсөн боловч дотоод үйлчилгээ рүү чиглэсэн хүсэлтүүд холбогдох үед гацдаг. Үйлчилгээний талд хүсэлт 10.90.0.25 шиг хаягаас ирж, хариулт нь өгөгдмөл гарц руу явж, юу ч буцаж ирэхгүй, учир нь тэр гарц 10.90.0.25 хаана байгааг мэдэхгүй. Нөгөө талаас ижил гэмтэл холбогдсон клиент руу ping хийж чадахгүй дотоод хост шиг харагдана. Хоёулаа нэг дутуу объект: VPN клиентүүдийн пул руу буцах зам бөгөөд үүнийг зөвхөн хувийн сүлжээ нэмж чадна.

Үйлчилгээний харж буй эх хаягийг уншина уу

Тэр нэг талбар бусад бүхнийг шийддэг. Хэрэв дотоод үйлчилгээ пулын хаягийг харж байвал Access Server клиентийн урсгалыг нуухын оронд маршрутлаж байгаа бөгөөд хариулт бүрийг пул руу буцааж маршрутлах ёстой. Хэрэв оронд нь серверийн өөрийнх нь хувийн хаягийг харж байвал сервер маскировка хийж байгаа бөгөөд буцах зам аль хэдийн ажиллаж байна, гэхдээ үйлчилгээний лог болон хандалтын дүрмээс клиент бүрийн таних мэдээлэл алдагдана.

Ямар нэгэн зүйл өөрчлөхөөс өмнө хоёр үзүүрийг харьцуул. Сервер дээр туннелийн интерфейсүүд болон тэдгээрийн хаягийг жагсаа; клиент дээр тэр хаягуудын алийг нь бодитоор эзэмшиж байгааг баталгаажуул; дотоод хост дээр идэвхтэй холболтыг хар.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Сүүлийн команд бол эвдэрсэн тохиолдолд бүтэлгүйтдэг команд: эсвэл туннелийн префиксийг хүрэхгүй гэж мэдээлнэ, эсвэл бүр дор нь таны өгөгдмөл гарцыг буцаана, тэгж хариултууд интернетэд гардаг.

Зөвхөн нэг пул байна гэж бүү бод. Серверт динамик муж болон хэрэглэгч бүрийн статик зураглал байж болох бөгөөд статик хаяг динамик префиксээс бүрэн гадуур байж болно. Зөвхөн санаж байгаа мужаа маршрутлавал тогтмол хаягтай хэрэглэгчид эвдэрсэн хэвээр үлдэж, бусад бүгд асуудал шийдэгдсэн гэж мэдээлнэ.

Хариулт шийдэгддэг газар зам нэмнэ үү

Зам нь дотоод үйлчилгээний аль хэдийн ашиглаж буй гарцад хамаарах бөгөөд үйлчилгээ өөрөө урсгалаа маршрутлаагүй л бол үйлчилгээнд биш. Үүнийг Access Server-ийн хүрэх боломжтой хувийн хаяг руу чиглүүл, энэ нь клиентийн эзэмшиж буй туннелийн хаягаас өөр утга юм.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

Үүлэн сүлжээнд ижил мэдэгдэл маршрутын хүснэгтийн бичлэг болж, зорилго нь сервер ажиллаж буй инстанс эсвэл сүлжээний интерфейс байх бөгөөд тэр интерфейс дээр эх ба очих хаягийн шалгалт идэвхгүй байна. Тэр бичлэг юу хийдэггүйг анхаар: зам бол хандалтын зөвшөөрөл биш, тиймээс аюулгүй байдлын бүлэг, сүлжээний ACL болон хост firewall урсгалыг зөвшөөрөх ёстой.

Үүнийг тогтвортой болгож, пулуудын хэмжээг шударга бариарай. Зэрэгцээ бус хоёр пулд хоёр зам хэрэгтэй бөгөөд тохируулсан префиксээс хэтэрч өсөх пул нь хариулт нь хаашаа ч явах газаргүй клиентүүдийг чимээгүй үүсгэдэг. Хэрэв та пулын мужийг удирдаж байгаа бол нэг удаа маршрутлаад орхиж болох хураангуйг сонго.

Дамжуулалт болон филтрүүд замтай нийцэх ёстой

Маршрутлалт бол замын хагас нь л юм. Сервер туннель болон хувийн интерфейсийн хооронд дамжуулах зөвшөөрөлтэй байх ёстой бөгөөд Linux дээр энэ нь net.ipv4.ip_forward болон интерфейсүүдийн хосыг зөвшөөрөх дамжуулалтын гинжийг хэлнэ, хатууруулсан хост дээр ихэвчлэн чиглэл бүрт тодорхой дүрэм байдаг.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Төлөвт фильтрлэлт нь хүмүүсийг буруу замд хөтөлдөг шинж тэмдгийг тайлбарладаг. Тогтоосон урсгалын доторх хариултад шинэ ирж буй дүрэм хэрэггүй тул SYN-ACK-ийн дараа гацдаг холболтыг дутуу accept дүрэм блоклохгүй; түүнийг хаядаг эсвэл буруу маршрутладаг. Энэ ялгааг хадгалаарай, учир нь энэ нь маршрутлалтын өөрчлөлтийг firewall-ийн өөрчлөлтөөс тусгаарладаг.

Тэгш бус буцах замууд нь ижил асуудлын илүү тайван хувилбар юм. Пул руу хоёр зам хүрч, хариулт нь хүсэлт ирсэн интерфейсээс өөр интерфейсээр гарч байгаа замыг сонговол хатуу урвуу замын филтр үүнийг хаяж, урсгал зөвхөн зарим клиентэд бүтэлгүйтдэг.

Маршрутлагдсан эсвэл маскировкалагдсан: санаатайгаар сонго

Маршрутлагдсан горим клиентийн пулын хаягийг үйлчилгээнд хадгалдаг нь клиент бүрийн лог болон бодлогыг боломжтой болгодог бөгөөд хариуд нь клиентэд хариу өгөх ёстой дотоод сүлжээ бүрт пулын зам хэрэгтэй. Маскировка горим нь хариултууд сервер рүү буцдаг тул тэр шаардлагыг арилгадаг, гэхдээ үйлчилгээ нэг клиентийг нөгөөгөөс ялгаж чадахгүй, тодорхой клиент рүү ямар ч зүйл эхлүүлж чадахгүй.

Энэ зан үйлийг ажиллаж буй сервер дээр өөрчлөх нь одоо байгаа сессүүдийг тасалдаг тул эхлээд нэг клиент, нэг урсгалаар туршиж үзээрэй. Хэрэв шилжилт нь зөв хариулт бол энэ нь сервер дээрх тохиргооны шийдвэр бөгөөд дараа нь илүүц болох замуудыг нэмж тойрч гарах зүйл биш юм.

Клиентийн арын дэд сүлжээ нь тусдаа ажил

Зөөврийн компьютерийн өөрийн LAN дахь төхөөрөмж рүү хүрэх нь зөөврийн компьютерийн туннелийн хаяг руу хүрэхтэй ижил биш. Үүнд клиент нь дэд сүлжээний гарц болж ажиллах шаардлагатай: клиентийн талд зарласан сүлжээ, клиентийн үйлдлийн системд идэвхжүүлсэн дамжуулалт, тэр LAN дээр клиент рүү буцах зам. Зөөврийн компьютерийн гэрийн мужид хувийн сүлжээний зам нэмэх нь үүнийг хийдэггүй бөгөөд хоёр хэрэглэгчийн гэрийн муж ижил байвал зөрчил үүсгэдэг.

Чиглэл мөн бодлогын асуудал юм. Клиентэд дотоод үйлчилгээ рүү холболт нээх зөвшөөрөл нь дотоод хостод тэр клиент рүү холболт нээх зөвшөөрлийг автоматаар өгдөггүй. Зам эвдэрсэн гэж дүгнэхээс өмнө серверийн хандалтын бодлого болон клиентийн хост firewall-ыг шалга.

Нэг урсгал, нэг бичлэгээр баталгаажуул

Замыг ерөнхий хүрэх боломжийн тестийн оронд нэг холболтоор нотол. Хоёр үзүүрт ижил урсгалыг ажигла: үйлчилгээнд ирж буй хүсэлт болон түүнээс гарч буй хариулт.

tcpdump -ni any host 10.90.0.25 and port 443

Засварын өмнө бичлэг нь хариулт маршрутлахгүй гарц руу явж байгааг харуулна. Засварын дараа хариулт сервер рүү явж, урсгал дуусна. Дараа нь хамрагдаагүй пул долоо хоногийн дараа биш одоо илрэх ёстой тул хоёр дахь клиентийн хаягийн хувьд гарц ямар зам ашиглахыг баталгаажуул.

Үүнийг хаах дөрвөн шалгалтаар дуусга: үйлчилгээн дэх эх хаяг нь төлөвлөсөн горимтой тохирч байгаа, гарц нь ашиглагдаж буй пул бүрт замтай, дамжуулалт болон филтрүүд хоёр чиглэлийг зөвшөөрч байгаа, нэг бодит урсгал эхнээс эцэс хүртэл дуусч байгаа. Access Server-ийн маршрутлалтын түгээмэл асуултууд нь суулгасан хувилбарын хувьд ижил зарчмыг дурддаг бөгөөд түүний дэмжигддэг тохиргооны интерфейс хуучин гарын авлагаас өөр байж болно.