Access Server gateway korisnik: usmjeravanje LAN-a klijentove podružnice

Možete pingati adresu tunela OpenVPN klijenta i ipak ne doći ni do jednog hosta na LAN-u iza njega. Access Server daje tom klijentu adresu iz VPN poola, a adresa poola je sve što server zna da posjeduje. Prefiks podružnice je zasebna činjenica koja se mora deklarisati, a i tada podružnica treba prosljeđivač, a centrala povratni put. Ruta upisana na pogrešno mjesto izgleda kao rješenje i ništa ne mijenja.

Dvije adrese, dva različita zahtjeva za vlasništvom

Kad se klijent poveže, Access Server mu dodjeljuje adresu iz konfigurisanog VPN poola, na primjer 10.90.0.0/24. Ta dodjela je zakup za jedan host. Ništa u vezi ne kaže da isti klijent stoji i ispred 10.60.0.0/24, a server neće nagađati: LAN prefiks je dostupan kroz određeni klijent samo ako ga administrator deklarira.

Zato statčna ruta na drugom računaru ne pomaže. Ruta kaže pošalji 10.60.0.0/24 na ovu adresu, ali ako adresa pripada klijentu koji nije označen kao gateway, server nema razloga da te pakete dostavi tamo, a klijentov stek ih može odbaciti. Deklaracija i ruta su dvije polovine jednog mehanizma.

Šta gateway postavka zapravo instalira

U Admin Web UI deklaracija je svojstvo korisnika: uključite Configure VPN gateway na connector korisniku i unesite stvarni prefiks podružnice u Network on the VPN client side. Taj korisnik se autentificira kao i svaki drugi, pa mu treba politika akreditiva za uređaj bez nadzora, a profil automatske prijave je tajna, ne datoteka za udobnost.

Iza tog polja server tretira prefiks kao dostupan kroz pool adresu tog klijenta, a konfiguracija usmjeravanja pod Access Controls odlučuje šta se govori drugim klijentima: rute koje se šalju običnim klijentima i pravila pristupa koja dozvoljavaju saobraćaj iz mreža centrale prema adresama i podmrežama klijenata. Uključite usmjeravanje za mreže koje treba da dohvate podružnicu i držite listu dozvoljenih kratkom.

Community direktiva zalijepljena u generisanu datoteku ne učestvuje u ovom modelu. Proizvod posjeduje tablicu usmjeravanja koju šalje; ručno uređena linija se prepisuje pri sljedećem generisanju ili se zanemaruje.

Dovršite povratne puteve obje mreže

Konkretan plan: centrala 10.40.0.0/24, podružnica 10.60.0.0/24, VPN pool 10.90.0.0/24, a Access Server dostupan na privatnoj adresi sa strane centrale. Ruter centrale treba rute za prefiks podružnice i za pool, obje prema Access Serveru. Bez njih tunel nosi zahtjev, a odgovor izlazi kroz zadani gateway, što daje klasičnu poluotvorenu vezu.

U podružnici connector mora prosljeđivati pakete koji nisu adresirani na njega: IP prosljeđivanje u njegovom OS-u plus dozvola prosljeđivanja ograničena na tunel i LAN interfejse; na Linuxu je to net.ipv4.ip_forward=1 uz pravila forward lanca, na Windowsu routing and remote access. Hostovi u podružnici zatim trebaju povratni put: ili je connector njihov zadani gateway, ili postojeći gateway nosi posebne rute za prefikse centrale i poola.

Connectorova tablica usmjeravanja ne rekonfiguriše svaki host na LAN-u podružnice. Ako hostovi pokazuju na drugi ruter, povratne rute pripadaju tamo i taj ruter mora prihvatiti da izvorna adresa koju vidi nije susjed na lokalnoj podmreži.

Čitajte neuspjeh kao put, ne kao dozvolu

Testirajte u fiksnom redoslijedu. Prvo dozvoljena usluga od Access Servera do hosta u podružnici, zatim ista usluga sa običnog hosta centrale, pa obrnuti smjer ako politika dozvoljava. Ako prvi prođe a drugi ne, problem su poslane rute ili pravila pristupa. Ako oba prođu ali odgovori ne dolaze, provjerite prosljeđivanje u podružnici i povratnu rutu u centrali.

Host firewall je sljedeći osumnjičeni, jer kod usmjerenog pristupa odredište vidi adresu centrale ili poola kao izvor. Pravilo napisano za lokalnu podmrežu neće se poklopiti i paket se odbacuje nakon što je usmjeravanje savršeno radilo.

Dva dizajna traže više od ovog obrasca. Prefiksi koji se preklapaju između lokacija čine odredište dvosmislenim i traže prenumeraciju ili prevođenje, a klasterirani Access Server traži da svaki čvor ima radni put do connectora podružnice, ne jedan čvor koji drži rutu. Primijenite promjene kroz uobičajeni put čuvanja i ažuriranja, ponovo povežite connector i provjerite s oba kraja; potpuno ponovno pokretanje svakog računara nije dio procedure.

Access Server tutorijal za vezu lokacija-lokacija navodi iste postavke proizvodnim redoslijedom; vrijedi ga jednom pratiti prije prilagođavanja dizajna vlastitim prefiksima.