pfSense OpenVPN: tasal għal netwerk wara router ieħor

Il-laptop tiegħek jasal għal-LAN tal-pfSense permezz tal-VPN u xorta jonqos milli jasal għal servizz żewġ qabżiet aktar ġewwa, u d-differenza hija deċiżjoni waħda ta' routing għal kull sid. Tliet apparati jridu jaqblu qabel ma pakk jitlesta l-vjaġġ tiegħu lura u 'l quddiem: il-klijent, il-firewall u r-router li tassew jippossjedi n-netwerk tad-destinazzjoni. Jekk titlef wieħed minnhom is-sintomu jidher identiku.

Segwi pakk wieħed minn dawn it-tliet deċiżjonijiet qabel ma tbiddel regola, għax kull sid għandu kontroll differenti u mod ta' falliment differenti.

Pakk wieħed, tliet deċiżjonijiet ta' routing

Il-klijent jiddeċiedi jekk id-destinazzjoni tappartjenix għat-tunnel, u jista' jiddeċiedi biss minn dak li jaf: rotta mbuttata, rotta lokali jew rotta default li diġà tkopri kollox. pfSense jiddeċiedi fejn jibgħat il-pakk li jmiss, li għal netwerk wara router ieħor ifisser rotta statika minn gateway li jista' jintlaħaq fuq l-interface korretta. Ir-router t'isfel jiddeċiedi jekk jafx triq lura lejn il-pool tal-VPN, u jekk ma jafx, it-tweġiba tiġi mwarrba jew mibgħuta f'post inutli. Kull deċiżjoni hija indipendenti miż-żewġ oħra.

Il-falliment ta' waħda minnhom jagħti l-istess rapport tal-utent. Huwa għalhekk li l-ordni tad-debugging hija aktar importanti mill-għodda.

Agħti lill-klijent prefiss, mhux suppożizzjoni

Fuq server pfSense SSL/TLS li għandu netwerk ta' tunnel IPv4 akbar minn /30, il-qasam IPv4 Local network(s) iqassam rotot lill-klijenti meta jikkonnettjaw. Żid il-prefiss t'isfel hemm minflok ma tiddependi fuq il-klijent biex jaħsibha waħda. Imbagħad aqra t-tabella attwali tal-klijent wara li jikkonnettja, għax profil b'route-nopull jew filtru tar-rotot jista' jinjora dak li bagħat is-server. Is-server jista' jkun perfettament korrett waqt li l-klijent ma jinstallax xejn.

Modi oħra tas-server u topoloġiji għandhom limiti differenti, u politika għal kull klijent jew konnessjoni tista' tbiddel dak li jirċievi klijent partikolari. Ivverifika fuq il-klijent li jimporta, mhux fuq dak li ġara li ttestjajt l-ewwel.

Iddrezzja pfSense lejn ir-router intern

Rotta statika fil-pfSense teħtieġ gateway definit u li jista' jintlaħaq, u l-interface magħżula għal dak il-gateway trid tkun dik li tassew tasal għalih, kif jiddeskrivi l-gwida tar-rotot statiċi tan-Netgate. F'arranġament illustrattiv il-link tat-transitu huwa 192.168.77.1 fuq il-firewall u 192.168.77.2 fuq ir-router intern, u n-netwerk tas-servizzi huwa 172.16.30.0/25 warajh. Imbagħad ir-rotta ssemmi l-prefiss u l-qabża li jmiss, mhux l-indirizz tas-servizz. L-użu ta' indirizz min-netwerk imbiegħed bħala gateway huwa mod komuni kif tinbena rotta li tidher korretta u ma tibgħat imkien.

Li tagħti isem lill-interface ma jiddeskrivix in-netwerks warajha. Ir-rotta statika hija dak id-deskrizzjoni.

In-naħa l-bogħod trid taf il-pool

Ir-router t'isfel jeħtieġ rotta lura għall-pool, f'dan l-eżempju 10.55.0.0/24 permezz ta' 192.168.77.1, sakemm rotta default jew protokoll dinamiku ma jipprovdix waħda diġà. Il-gateway tal-host tas-servizz innifsu jrid iwassal lejn dak ir-router, li normalment huwa minnu meta r-router ikun il-gateway default tiegħu u falz meta l-host ġie kkonfigurat bl-idejn. Ir-routing tal-politika fuq il-firewall jista' wkoll jaqbeż it-tabella għal traffiku speċifiku, għalhekk iċċekkja jekk regola tagħżilx gateway differenti qabel ma tikkonkludi li r-rotta hija ħażina.

L-ebda traduzzjoni mhi meħtieġa għal dan id-disinn, u li l-indirizz tas-sors tal-klijent jibqa' viżibbli jippermetti lin-netwerk t'isfel japplika l-politika tiegħu stess.

Għall-aċċettazzjoni, segwi talba ġdida waħda mill-daħla tat-tunnel, il-ħruġ intern tal-firewall u t-tweġiba mid-destinazzjoni. Jekk minflok tintuża traduzzjoni b'mod deliberat, innota liema sors jara n-netwerk t'isfel u kif mistenni li tiġi lura t-tweġiba.

Salva l-pjan tat-tliet sidien flimkien mal-applikazzjoni permessa, sabiex l-amministratur li jmiss jista' jerġa' jibni t-triq minflok ma jiskopriha mill-ġdid.