Pengguna gateway Access Server: menghala LAN cawangan klien

Anda boleh ping alamat terowong klien OpenVPN tetapi masih tidak sampai ke mana-mana hos pada LAN di belakangnya. Access Server memberi klien itu alamat daripada kolam VPN, dan alamat kolam itu sahaja yang server tahu miliknya. Prefiks cawangan ialah fakta berasingan yang mesti diisytiharkan, dan selepas itu cawangan perlu penghantar manakala ibu pejabat perlu laluan balik. Laluan yang ditaip di tempat salah kelihatan seperti penyelesaian dan tidak mengubah apa-apa.

Dua alamat, dua tuntutan pemilikan berbeza

Apabila klien menyambung, Access Server memberinya alamat daripada kolam VPN yang dikonfigurasikan, contohnya 10.90.0.0/24. Pemberian itu ialah pajakan untuk satu hos. Tiada apa dalam sambungan menyatakan klien yang sama juga berada di hadapan 10.60.0.0/24, dan server tidak akan meneka: prefiks LAN hanya boleh dicapai melalui klien tertentu jika pentadbir mengisytiharkannya.

Itulah sebabnya laluan statik pada mesin lain tidak berkesan. Laluan berkata hantar 10.60.0.0/24 ke alamat ini, tetapi jika alamat itu milik klien yang tidak pernah ditanda sebagai gateway, server tiada sebab menghantar paket itu ke sana, dan tindanan klien mungkin membuangnya. Pengisytiharan dan laluan ialah dua separuh daripada satu mekanisme.

Apa yang sebenarnya dipasang oleh tetapan gateway

Dalam Admin Web UI pengisytiharan ialah sifat pengguna: aktifkan Configure VPN gateway pada pengguna penyambung dan masukkan prefiks cawangan sebenar dalam Network on the VPN client side. Pengguna itu disahkan seperti yang lain, jadi ia memerlukan dasar kelayakan yang sesuai untuk peranti tanpa pengawasan, dan profil log masuk automatiknya ialah rahsia.

Di sebalik kotak itu server menganggap prefiks boleh dicapai melalui alamat kolam klien tersebut, dan konfigurasi penghalaan di bawah Access Controls menentukan apa yang diberitahu kepada klien lain: laluan yang dihantar kepada klien biasa dan peraturan akses yang membenarkan trafik daripada rangkaian ibu pejabat ke alamat dan subnet klien. Aktifkan penghalaan untuk rangkaian yang patut sampai ke cawangan dan pastikan senarai dibenarkan pendek.

Arahan gaya Community yang ditampal dalam fail yang dijana tidak menyertai model ini. Produk memiliki jadual penghalaan yang dihantarnya; baris yang diedit dengan tangan ditulis ganti atau diabaikan.

Lengkapkan laluan balik kedua-dua rangkaian

Pelan konkrit: ibu pejabat 10.40.0.0/24, cawangan 10.60.0.0/24, kolam VPN 10.90.0.0/24, dan Access Server boleh dicapai pada alamat peribadi di sebelah ibu pejabat. Penghala ibu pejabat memerlukan laluan untuk prefiks cawangan dan kolam, kedua-duanya menuju Access Server. Tanpanya balasan keluar melalui gateway lalai, menghasilkan sambungan separuh terbuka.

Di cawangan penyambung mesti menghantar paket yang tidak dialamatkan kepadanya: penghantaran IP dalam sistem operasinya serta kebenaran penghantaran terhad kepada antara muka terowong dan LAN; pada Linux ialah net.ipv4.ip_forward=1 bersama peraturan rantai forward, pada Windows ialah routing and remote access. Kemudian hos cawangan memerlukan laluan balik: sama ada penyambung menjadi gateway lalai mereka, atau gateway sedia ada membawa laluan khusus untuk prefiks ibu pejabat dan kolam.

Jadual penghalaan penyambung tidak mengkonfigurasi semula setiap hos pada LAN cawangan. Jika hos menunjuk ke penghala lain, laluan balik terletak di sana, dan ia mesti menerima bahawa alamat sumber yang dilihatnya bukan jiran pada subnet setempat.

Baca kegagalan sebagai laluan, bukan kebenaran

Uji dalam urutan tetap. Pertama perkhidmatan dibenarkan daripada Access Server ke hos cawangan, kemudian perkhidmatan sama daripada hos biasa ibu pejabat, kemudian arah bertentangan jika dasar membenarkan. Jika yang pertama lulus dan kedua gagal, laluan yang dihantar atau peraturan akses menjadi masalah. Jika kedua-dua lulus tetapi tiada balasan, periksa penghantaran di cawangan dan laluan balik di ibu pejabat.

Tembok api hos ialah syak seterusnya, kerana dengan akses berpenghalaan destinasi melihat alamat ibu pejabat atau kolam sebagai sumber. Peraturan yang ditulis untuk subnet setempat tidak akan sepadan dan paket digugurkan.

Dua reka bentuk memerlukan lebih. Prefiks bertindih antara tapak menjadikan destinasi kabur dan memerlukan penomboran semula atau terjemahan, dan Access Server berkelompok memerlukan setiap nod mempunyai laluan berfungsi ke penyambung cawangan, bukan satu nod memegang laluan. Laksanakan perubahan melalui laluan simpan dan kemas kini biasa, sambung semula penyambung dan sahkan dari kedua-dua hujung; but semula penuh setiap mesin bukan sebahagian daripada prosedur.

Tutorial site-to-site Access Server menyenaraikan tetapan yang sama mengikut urutan produk; wajar diikuti sekali sebelum menyesuaikan reka bentuk dengan prefiks anda.