Utent tal-gateway f'Access Server: ir-rotta tal-LAN tal-fergħa ta' klijent

Tista' tagħmel ping lill-indirizz tat-tunnel ta' klijent OpenVPN u xorta ma tasal għal ebda host fuq il-LAN warajh. Access Server jagħti lill-klijent indirizz mill-pool VPN, u l-indirizz tal-pool huwa kollox li s-server jaf li hu tiegħu. Il-prefiss tal-fergħa huwa fatt separat li għandu jiġi ddikjarat, u anki mbagħad il-fergħa teħtieġ trażmettitur u l-kwartieri ġenerali toroq tar-ritorn. Rotta miktuba f'post ħażin tidher bħala soluzzjoni u ma tbiddel xejn.

Żewġ indirizzi, żewġ talbiet ta' sjieda differenti

Meta klijent jikkonnettja, Access Server jagħtih indirizz mill-pool VPN konfigurat, pereżempju 10.90.0.0/24. Dak l-allokazzjoni hija kera għal host wieħed. Xejn fil-konnessjoni ma jgħid li l-istess klijent qiegħed ukoll quddiem 10.60.0.0/24, u s-server mhu se jaqta' xejn: prefiss LAN huwa aċċessibbli permezz ta' klijent speċifiku biss jekk amministratur jiddikjarah.

Għalhekk rotta statika fuq magna oħra ma taħdimx. Ir-rotta tgħid ibgħat 10.60.0.0/24 lejn dan l-indirizz, imma jekk l-indirizz huwa ta' klijent li qatt ma ġie mmarkat bħala gateway, is-server m'għandu l-ebda raġuni biex iwassal dawk il-pakketti hemmhekk, u l-munzell tal-klijent jista' jarmihom. Id-dikjarazzjoni u r-rotta huma żewġ nofsijiet ta' mekkaniżmu wieħed.

X'jinstallaw tassew is-setting tal-gateway

Fl-Admin Web UI id-dikjarazzjoni hija proprjetà tal-utent: ippermetti Configure VPN gateway fuq l-utent connector u daħħal il-prefiss reali tal-fergħa fi Network on the VPN client side. Dak l-utent jiġi awtentikat bħall-oħrajn, għalhekk jeħtieġ politika ta' kredenzjali adatta għal apparat bla sorveljanza, u l-profil tal-login awtomatiku tiegħu huwa sigriet.

Wara dik il-kaxxa s-server jittratta l-prefiss bħala aċċessibbli permezz tal-indirizz tal-pool ta' dak il-klijent, u l-konfigurazzjoni tar-routing taħt Access Controls tiddeċiedi x'jiġi mgħarraf lill-klijenti l-oħra: ir-rotot mibgħuta lill-klijenti ordinarji u r-regoli tal-aċċess li jippermettu traffiku min-netwerks tal-kwartieri ġenerali lejn l-indirizzi u s-subnets tal-klijenti. Ippermetti r-routing għan-netwerks li għandhom jilħqu l-fergħa, u żomm il-lista permessa qasira.

Direttiva bi stil Community imwaħħla f'fajl iġġenerat ma tipparteċipax f'dan il-mudell. Il-prodott jippossjedi t-tabella tar-routing li jibgħat; linja editjata bl-idejn tiġi sostitwita jew injorata.

Lesti ż-żewġ toroq tar-ritorn tan-netwerks

Pjan konkret: kwartieri ġenerali 10.40.0.0/24, fergħa 10.60.0.0/24, pool VPN 10.90.0.0/24, u Access Server aċċessibbli fuq indirizz privat fuq in-naħa tal-kwartieri. Ir-router tal-kwartieri jeħtieġ rotot għall-prefiss tal-fergħa u għall-pool, it-tnejn lejn Access Server. Mingħajrhom it-tweġiba toħroġ mill-gateway awtomatiku, li tagħti l-konnessjoni nofs miftuħa.

Fil-fergħa l-connector għandu jibgħat pakketti li mhumiex indirizzati lilu: ippeġġjar IP fis-sistema operattiva tiegħu u permess limitat għall-interfaces tat-tunnel u tal-LAN; fuq Linux huwa net.ipv4.ip_forward=1 mar-regoli tal-katina forward, fuq Windows huwa routing and remote access. Imbagħad il-hosts tal-fergħa jeħtieġu rotta tar-ritorn: jew il-connector huwa l-gateway awtomatiku tagħhom, jew il-gateway eżistenti jġorr rotot speċifiċi għall-prefissi tal-kwartieri u tal-pool.

It-tabella tar-routing tal-connector ma terġax tikkonfigura kull host fuq il-LAN tal-fergħa. Jekk il-hosts jindikaw router ieħor, it-toroq tar-ritorn jappartjenu hemmhekk, u dan għandu jaċċetta li l-indirizz tas-sors li jara mhuwiex ġar fuq is-subnet lokali.

Aqra ħsara bħala triq, mhux bħala permess

Ittestja fi ordni fiss. L-ewwel servizz permess minn Access Server lejn host tal-fergħa, imbagħad l-istess servizz minn host ordinarju tal-kwartieri, imbagħad id-direzzjoni opposta jekk il-politika tippermetti. Jekk l-ewwel jgħaddi u t-tieni ifalli, ir-rotot mibgħuta jew ir-regoli tal-aċċess huma l-problema. Jekk it-tnejn jgħaddu imma ma jaslu tweġibiet, eżamina l-ippeġġjar fil-fergħa u r-rotta tar-ritorn fil-kwartieri.

Il-firewall tal-host huwa s-suspettat li jmiss, għax bl-aċċess irruttjat id-destinazzjoni tara indirizz tal-kwartieri jew tal-pool bħala sors. Regola miktuba għas-subnet lokali ma taqbilx u l-pakkett jinxħet.

Żewġ disinji jeħtieġu aktar. Prefissi li jikkoinċidu bejn is-siti jagħmlu d-destinazzjoni ambigwa u jeħtieġu numerazzjoni mill-ġdid jew traduzzjoni, u Access Server clustering jeħtieġ li kull nod għandu triq funzjonanti lejn il-connector tal-fergħa, mhux nod wieħed iżomm ir-rotta. Applika bidliet permezz tal-mogħdija tas-soltu tat-tfaddil u l-aġġornament, erġa' qabbad il-connector u ivverifika miż-żewġ trufijiet; reboot sħiħ ta' kull magna mhuwiex parti mill-proċedura.

It-tutorial site-to-site ta' Access Server jelenka l-istess settings fl-ordni tal-prodott; jiswa li timxi miegħu darba qabel tadatta d-disinn għall-prefissi tiegħek.