Għaliex is-subnet wara klijent OpenVPN mhix aċċessibbli?

Ping lejn l-indirizz tat-tunnel tas-server jirnexxi, it-tabella tar-rotot tal-klijent tidher sew, u l-LAN wara dak il-klijent għadha mhix aċċessibbli. It-tabella tar-rotot tal-klijent tidher korretta, is-server għandu rotta lejn it-tunnel, u l-pakketti xorta jisparixxu. Dan huwa s-sintomu klassiku ta' tunnel layer-3 li ma jafx li wieħed mill-klijenti tiegħu huwa wkoll gateway.

Interface tun m'għandux hop li jmiss għal kull klijent. Il-kernel jara interface wieħed b'ħafna peers, għalhekk id-deċiżjoni dwar liema klijent għandu jirċievi pakkett għal LAN remota trid tittieħed ġewwa l-proċess OpenVPN. Dik id-deċiżjoni hija kkonfigurata b'iroute, u mingħajrha l-pakkett m'għandux fejn imur.

Is-server jirrotta skont il-klijent, mhux skont l-interface

Meta s-server irid jibgħat pakkett lejn l-indirizz tat-tunnel ta' klijent, it-tweġiba hija ċara: l-indirizz jappartjeni għas-sessjoni ta' dak il-klijent. Meta d-destinazzjoni hija subnet sħiħ wara dak il-klijent, l-indirizz ma jappartjenix lil ħadd li s-server jaf, u r-rotta tal-kernel lejn it-tunnel tgħid biss "minn dan l-interface", mingħajr ma tgħid liema peer.

OpenVPN issolvi dan b'tabella tar-rotot interna li tassoċja prefiss tad-destinazzjoni ma' klijent speċifiku. Dik it-tabella tinbena mid-daħliet iroute, għalhekk rotta ordinarja fuq il-host tas-server mhijiex biżżejjed. Ir-rotta tal-kernel iġġib il-pakkett lejn l-interface tat-tunnel; l-assoċjazzjoni interna tiddeċiedi liema sessjoni tirċevih. Huwa għalhekk ukoll li t-tiswija qatt ma tidher fil-ħruġ tar-rotot tal-kernel.

Jekk l-assoċjazzjoni hija nieqsa, il-pakkett jasal għand is-server, jaqbel mar-rotta tat-tunnel u jiġi skartat għax ħadd ma jitlob id-destinazzjoni. Xejn ma jirreġistra żball nadif, għalhekk il-ħsara tidher bħal toqba sewda siekta aktar milli loop tar-rotot.

Nikteb id-daħla iroute li ssemmi l-klijent

iroute joqgħod f'fajl ta' konfigurazzjoni speċifiku għall-klijent, mhux fil-konfigurazzjoni prinċipali tas-server. Idderieġi s-server lejn direttorju bl-għażla client-config-dir, imbagħad oħloq fajl li ismu huwa l-isem komuni taċ-ċertifikat tal-klijent u poġġi l-prefiss fih.

Għal fergħa li l-LAN tagħha hija 10.20.0.0/24 u li l-isem komuni taċ-ċertifikat tagħha huwa branch-router, il-fajl f'dak il-passaġġ fih linja bħal iroute 10.20.0.0 255.255.255.0. Il-konfigurazzjoni prinċipali teħtieġ biss l-għażla tad-direttorju; il-prefiss joqgħod mal-klijent.

L-isem komuni huwa l-parti fraġli. Ċertifikat maħruġ b'subject ieħor, jew installazzjoni li tawtentika l-utenti bl-isem tal-utent waqt li l-fajl huwa msemmi għaċ-ċertifikat, tipproduċi fajl li qatt ma jinqara. Iċċekkja l-isem li s-server fil-fatt jirrapporta għas-sessjoni, u kkunsidra l-għażla li tagħmel klijent li ma jaqbilx jonqos minflok ma jgħaqqad bil-kwiet mingħajr ir-rotot tiegħu. Biex tibdel isem il-fajl sabiex jaqbel maċ-ċertifikat hija tiswija ta' ħames minuti li tipprevjeni filgħaxija twila ħafna.

Klijent wieħed jista' jkollu diversi prefissi. Żid linja iroute waħda għal kull netwerk, u żomm il-lista ħdejn il-bqija tas-settings ta' dak il-klijent sabiex l-assoċjazzjoni tibqa' verifikabbli.

Nibnu l-passaġġ tar-ritorn fiż-żewġ direzzjonijiet

Li twassal il-pakketti lejn il-LAN remota hija nofs ix-xogħol. Il-klijent irid ukoll jibgħat it-traffiku ta' dik il-LAN fit-tunnel, li normalment isir billi tipponta rotta lejn il-klijent: linja bħal push "route 10.8.0.0 255.255.255.0" tgħid lil kull klijent kif jasal għan-netwerk fin-naħa tas-server. Għall-fergħa, ir-rotta ekwivalenti tipponta lejn it-tunnel għal kull ħaġa li trid tilħaq fin-naħa tas-server.

Id-direzzjoni tar-ritorn teħtieġ sid fin-naħa l-bogħoda. F'dik in-naħa, xi ħadd irid jaf it-triq lura: rotta statika fuq ir-router tal-LAN li tipponta l-pool tal-VPN lejn is-server, jew traduzzjoni tal-indirizzi fuq is-server qabel ma t-traffiku jidħol fil-LAN. Ir-rotta statika żżomm l-indirizzi oriġinali viżibbli fil-logs u fir-regoli tal-aċċess iżda teħtieġ il-kooperazzjoni tas-sid tal-LAN; it-traduzzjoni hija awtosuffiċjenti iżda taħbi min fil-fatt qagħad.

It-trażmissjoni trid tkun attivata fuq il-host tas-server. Mingħajrha l-kernel jaċċetta l-pakkett mit-tunnel u jirrifjuta li jgħaddih lill-interface tal-LAN, li mil-lat tal-klijent jidher eżattament bħal iroute nieqsa.

Nivverifikaw l-aċċessibilità bil-probes it-tajba

Ittestja f'saffi minflok ping lit-tarf imbiegħed u raden. Mis-server, iċċekkja li l-assoċjazzjoni interna għall-prefiss teżisti u li r-rotta tal-kernel tipponta lejn it-tunnel. Mill-klijent, ikkonferma li r-rotta mbuttata hija installata u li l-passaġġ awtomatiku tiegħu għall-indirizz tal-LAN huwa t-tunnel.

Imbagħad osserva l-pakketti. Qabda fuq l-interface tat-tunnel turi jekk is-server qed jittrażmetti lejn il-klijent, u qabda fuq l-interface tal-LAN turi jekk qed jgħaddix 'il quddiem. Jekk l-ewwel turi pakketti u t-tieni xejn, il-problema hija t-trażmissjoni jew filtru; jekk it-tnejn ma juru xejn, it-tfittxija falliet qabel.

Żewġ servers imqabbda b'tunnel jirrepetu l-istess regola fuq iż-żewġ naħat: kull wieħed jeħtieġ iroute għall-pool tal-ieħor, u kull wieħed jeħtieġ ir-rotta u t-trażmissjoni li jagħmlu l-passaġġ simetrika. Ir-rotot u l-politika huma kwistjonijiet separati hawn. Ir-rotot jiddeċiedu fejn jista' jmur pakkett, filwaqt li regola FORWARD tiddeċiedi jekk huwiex permess, għalhekk klijent b'żewġ linji iroute jista' jasal għaż-żewġ prefissi sakemm filtru ma jgħidx mod ieħor.