pfSense OpenVPN: mencapai rangkaian di sebalik penghala lain

Komputer riba anda mencapai LAN pfSense melalui VPN dan masih gagal mencapai perkhidmatan dua hop lebih dalam, dan bezanya ialah satu keputusan penghalaan bagi setiap pemilik. Tiga peranti mesti bersetuju sebelum paket melengkapkan perjalanan pergi dan baliknya: klien, tembok api dan penghala yang benar-benar memiliki rangkaian destinasi. Terlepas mana-mana satu daripadanya dan gejalanya kelihatan sama.

Ikuti satu paket melalui ketiga-tiga keputusan itu sebelum menukar peraturan, kerana setiap pemilik mempunyai kawalan berbeza dan mod kegagalan berbeza.

Satu paket, tiga keputusan penghalaan

Klien memutuskan sama ada destinasi tergolong dalam terowong, dan ia hanya boleh memutuskan daripada apa yang diketahuinya: laluan yang ditolak, laluan tempatan atau laluan lalai yang sudah meliputi segala-galanya. pfSense memutuskan ke mana hendak menghantar paket seterusnya, yang bagi rangkaian di sebalik penghala lain bermakna laluan statik melalui get laluan yang boleh dicapai pada antara muka yang betul. Penghala hilir memutuskan sama ada ia mengetahui jalan balik ke kumpulan VPN, dan jika tidak, balasan digugurkan atau dihantar ke tempat yang tidak berguna. Setiap keputusan adalah bebas daripada dua yang lain.

Kegagalan mana-mana satu daripadanya menghasilkan laporan pengguna yang sama. Itulah sebabnya urutan nyahpepijat lebih penting daripada alat.

Beri klien awalan, bukan tekaan

Pada pelayan pfSense SSL/TLS dengan rangkaian terowong IPv4 lebih besar daripada /30, medan IPv4 Local network(s) mengedarkan laluan kepada klien apabila mereka menyambung. Tambah awalan hilir di situ daripada bergantung pada klien untuk mencipta satu. Kemudian baca jadual sebenar klien selepas menyambung, kerana profil dengan route-nopull atau penapis laluan boleh mengabaikan apa yang dihantar oleh pelayan. Pelayan boleh menjadi sempurna betul sementara klien tidak memasang apa-apa.

Mod pelayan dan topologi lain mempunyai had berbeza, dan dasar bagi setiap klien atau sambungan boleh mengubah apa yang diterima oleh klien tertentu. Sahkan pada klien yang penting, bukan pada klien yang kebetulan anda uji dahulu.

Halakan pfSense ke penghala dalaman

Laluan statik dalam pfSense memerlukan get laluan yang ditakrifkan dan boleh dicapai, dan antara muka yang dipilih untuk get laluan itu mestilah yang benar-benar mencapainya, seperti yang diterangkan oleh panduan laluan statik Netgate. Dalam susun atur ilustratif, pautan transit ialah 192.168.77.1 pada tembok api dan 192.168.77.2 pada penghala dalaman, dengan rangkaian perkhidmatan di 172.16.30.0/25 di belakangnya. Laluan itu kemudian menamakan awalan dan hop seterusnya, bukan alamat perkhidmatan. Menggunakan alamat daripada rangkaian jauh sebagai get laluan ialah cara biasa membina laluan yang kelihatan betul dan tidak memajukan ke mana-mana.

Memberi nama kepada antara muka tidak menerangkan rangkaian di sebaliknya. Laluan statik ialah penerangan itu.

Sisi jauh mesti mengetahui kumpulan

Penghala hilir memerlukan laluan balik untuk kumpulan, dalam contoh ini 10.55.0.0/24 melalui 192.168.77.1, melainkan laluan lalai atau protokol dinamik sudah menyediakannya. Get laluan hos perkhidmatan itu sendiri mesti menuju ke penghala tersebut, yang biasanya benar apabila penghala itu ialah get laluan lalainya dan palsu apabila hos dikonfigurasikan secara manual. Penghalaan dasar pada tembok api juga boleh mengatasi jadual untuk trafik tertentu, jadi semak sama ada peraturan memilih get laluan lain sebelum membuat kesimpulan bahawa laluan itu salah.

Tiada terjemahan diperlukan untuk reka bentuk ini, dan membiarkan alamat sumber klien kelihatan membolehkan rangkaian hilir menggunakan dasarnya sendiri.

Untuk penerimaan, ikuti satu permintaan baharu melalui kemasukan terowong, keluar dalaman tembok api dan balasan daripada destinasi. Jika terjemahan sengaja digunakan sebaliknya, catat sumber yang dilihat oleh rangkaian hilir dan bagaimana balasan dijangka kembali.

Simpan pelan tiga pemilik bersama aplikasi yang dibenarkan, supaya pentadbir seterusnya boleh membina semula laluan itu daripada menemuinya semula.