Għaliex il-klijenti OpenVPN ma jlaħħqux mal-għażliet IPsec tal-gateway
Ping mill-gateway jipprova fluss differenti. Segwi l-pool tal-klijenti permezz tar-rotta mbuttata, l-għażliet IPsec, il-katina tal-forwarding u l-mogħdija tar-risposta.
Ibgħat ping lil host wara t-tunnel IPsec imbiegħed mill-gateway u jwieġeb b’mod nadif, għalhekk it-tunnel jidher f’saħħtu u t-ticket jimxi ’l quddiem. Imbagħad klijent konness jipprova l-istess host u ma jirċievi xejn lura. Dak il-ping qatt ma kien prova għall-fluss tal-klijent, għax telaq bl-indirizz tas-sors tal-gateway stess u qabel ma’ għażla IPsec oħra. Li tifhem għaliex iż-żewġ każijiet jiddiverġu huwa l-parti l-kbira tat-tiswija.
Il-ping tal-gateway jittestja fluss li l-klijent tiegħek qatt ma juża
L-indirizz tas-sors jiddeċiedi liema politika tapplika. Pakkett iġġenerat fuq il-gateway joħroġ b’indirizz mil-LAN lokali tiegħu jew mill-punt tat-tarf tat-tunnel, u l-politika li taqbel miegħu nkitbet eżattament għal dak il-każ. Il-pakkett ta’ klijent jasl quddiem l-interface OpenVPN b’indirizz mill-pool tal-klijenti, li huwa għażla kompletament oħra.
Għalhekk il-falliment jidher bħala problema ta’ routing meta fil-verità hija problema ta’ ambitu tal-politika. L-aċċessibbiltà mill-gateway tipprova li l-peer huwa attiv u li l-proposti ġew negozjati, u ma tipprova xejn dwar jekk il-pool huwiex protett.
Imbotta l-prefiss imbiegħed li l-applikazzjoni verament teħtieġ
Ħu l-par illustrattiv 10.8.0.0/24 għall-klijenti konnessi u 172.30.239.0/25 għan-netwerk imbiegħed protett. Dak li klijent jeħtieġ huwa rotta lejn it-tieni prefiss, mhux lejn il-LAN tal-gateway u mhux lejn xi indirizz ieħor tat-tunnel. Rotta mbuttata fil-pool hija dik li tagħmel il-klijent jgħaddi dak it-traffiku lill-gateway. Mingħajrha l-pakkett qatt ma jasal għad-deċiżjoni tal-politika li qed tiġi debugjata.
Fuq server Community li jaċċetta rotot imbuttati, id-direttiva tieħu l-mask vera: push "route 172.30.239.0 255.255.255.128". Access Server jikkonfigura l-istess destinazzjoni permezz tas-settings tan-netwerk privat jew tar-regoli tal-aċċess tal-verżjoni installata, bil-mod routed jew translated magħżul deliberatament. Li timmodifika l-katini tal-firewall iġġenerati minflok il-konfigurazzjoni proprjetarja huwa kif installazzjoni li taħdem issir impossibbli li tiġi riprodotta.
Wara li tikkonnettja, aqra t-tabella tar-routing tal-klijent u mhux l-intenzjoni tas-server. Rotta li tkopri biss il-pool tfisser li l-imbuttar qatt ma wasal, u rotta default mit-tunnel hija usa’ minn din il-ħtieġa u se tissorprendik aktar tard. Iċċekkja l-mask kif ukoll il-prefiss, għax /25 imbuttat bħala /24 jibgħat traffiku għal indirizzi ġirien f’mogħdija li ma tistax iġġorru. Imbagħad ikkonferma li l-klijent għażel l-interface tat-tunnel għal dik id-destinazzjoni.
Agħmel il-għażliet jinkludu l-pool tal-klijenti
Għal aċċess routed li jippreserva l-indirizzi tal-klijenti, il-politika IPsec trid tipproteġi t-traffiku bejn il-pool u l-prefiss imbiegħed. Għażliet miktuba għal-LAN tal-gateway stess jgħaddu l-ping u jarmu t-talba tal-klijent, u din hija eżattament l-asimmetrija li bdiet din l-investigazzjoni.
Spezzjona l-politika negozjata kif ukoll il-proposti konfigurati, pereżempju b’ipsec statusall fuq strongSwan jew il-kmand tal-istat ekwivalenti għall-implimentazzjoni tiegħek. Fl-IPsec ibbażat fuq politika r-rotta ordinarja tista’ tindika lejn interface fiżika filwaqt li t-traffiku li jaqbel għadu kriptat, allura apparat tat-tunnel nieqes ma jipprova xejn. Qabbel il-par għażliet mal-pool u l-prefiss li ktibt.
NAT tas-sors ġeneriku fuq il-gateway jista’ wkoll ikisser il-qbil. Jekk regola masquerade terġa’ tikteb is-sors tal-klijent qabel il-verifika tal-politika, il-pakkett ma jibqax jidher bħall-għażla li ktibt. Dan huwa raġuni waħda għaliex regola masquerade wiesgħa hija tiswija fqira għat-tieni VPN: tibdel liema politika tapplika u liema indirizz jirreġistra n-naħa l-bogħida. Eżenta t-traffiku li biħsiebek tirrota, jew ittraduċih deliberatament u aġġorna l-għażliet.
Agħżel ir-routing jew it-traduzzjoni apposta
Ir-routing iżomm l-indirizz tal-klijent viżibbli għan-naħa l-bogħida, għalhekk il-logs imbiegħda u r-regoli skont is-sors jibqgħu sinifikanti, u jeħtieġ li l-gateway imbiegħed jaf il-mogħdija lura lejn il-pool. It-traduzzjoni taħbi l-pool wara indirizz wieħed, li tneħħi l-problema tal-mogħdija lura u teqred l-identità ta’ kull klijent.
Agħżel disinn wieħed u iktbu, għax it-tnejn jeħtieġu għażliet differenti u ordni tal-firewall differenti. Masquerade applikat nofsu jispiċċa bejniethom u ma jissodisfa lil ħadd. L-għażla miktuba hija wkoll dik li tħalli lill-inġinier li jmiss jiddistingwi bug minn deċiżjoni deliberata.
Agħlaq iċ-ċirku fuq il-forwarding u r-risposta
Il-gateway irid jibgħat il-protokoll u d-destinazzjoni li biħsiebek, li jfisser forwarding IP mixgħul u katina tal-forwarding li tippermetti l-par. Imbagħad in-naħa l-bogħida trid tibgħat ir-risposti lura mill-mogħdija IPsec, u dik hija deċiżjoni ta’ routing fuq il-gateway tagħhom u mhux tiegħek. Iż-żewġ nofsijiet huma konfigurazzjoni ordinarja, u t-tnejn huma faċli li jitħallew nofshom. Ippruvahom separatament sabiex regola tal-forwarding nieqsa ma tittieħedx bħala tunnel miksur.
Ivverifika b’talba waħda reali mill-klijent għall-applikazzjoni, u ara kif tgħaddi mill-interface OpenVPN, id-deċiżjoni IPsec u l-host imbiegħed. Spezzjona r-risposta bħala osservazzjoni separata, għax talba li tasal u risposta li qatt ma tiġi lura jidhru l-istess mis-sit tal-klijent. Talba waħda traċċata tiswa aktar minn kwalunkwe numru ta’ ping mill-gateway.
Żomm l-awtorizzazzjoni tad-destinazzjoni dejqa waqt li tittestja, u kkonferma li klijent mingħajr ir-regola ma jistax jilħaq is-servizz. Rotta installata flimkien ma’ assoċjazzjoni stabbilita mhijiex l-istess bħala aċċess mogħti.