Používateľ brány v Access Server: smerovanie LAN pobočky klienta

Môžete pingnúť adresu tunela klienta OpenVPN a napriek tomu sa nedostanete na žiadny hostiteľ v LAN za ňou. Access Server pridelí klientovi adresu z fondu VPN a adresa fondu je všetko, čo server považuje za svoje. Prefix pobočky je samostatný fakt, ktorý treba deklarovať, a aj potom pobočka potrebuje preposielač a centrála spätnú cestu. Trasa zapísaná na nesprávnom mieste vyzerá ako riešenie a nič nemení.

Dve adresy, dve rôzne nároky na vlastníctvo

Pri pripojení pridelí Access Server klientovi adresu z nakonfigurovaného fondu VPN, napríklad 10.90.0.0/24. To je prenájom pre jedného hostiteľa. Spojenie nehovorí, že ten istý klient stojí aj pred 10.60.0.0/24, a server nebude hádať: prefix LAN je cez konkrétneho klienta dostupný len vtedy, keď ho správca deklaruje.

Preto statická trasa na inom stroji nepomáha. Trasa hovorí pošli 10.60.0.0/24 na túto adresu, ale ak adresa patrí klientovi, ktorý nikdy nebol označený ako brána, server nemá dôvod tam tie pakety doručiť a klientov zásobník ich môže zahodiť. Deklarácia a trasa sú dve polovice jedného mechanizmu.

Čo nastavenie brány skutočne nainštaluje

V Admin Web UI je deklarácia vlastnosť používateľa: zapnite Configure VPN gateway u používateľa konektora a zadajte skutočný prefix pobočky do Network on the VPN client side. Ten používateľ sa overuje ako každý iný, preto potrebuje politiku prihlasovacích údajov pre zariadenie bez dozoru, a jeho profil automatického prihlásenia je tajomstvo.

Za týmto políčkom server považuje prefix za dostupný cez adresu fondu daného klienta a konfigurácia smerovania v Access Controls určuje, čo sa oznámi ostatným klientom: trasy posielané bežným klientom a pravidlá prístupu, ktoré povoľujú prevádzku zo sietí centrály na adresy a podsiete klientov. Zapnite smerovanie pre siete, ktoré majú dosiahnuť pobočku, a zoznam povolených držte krátky.

Direktíva v štýle Community vložená do generovaného súboru sa tohto modelu nezúčastňuje. Produkt vlastní smerovaciu tabuľku, ktorú posiela; ručne upravený riadok sa prepíše alebo ignoruje.

Dokončite spätné cesty oboch sietí

Konkrétny plán: centrála 10.40.0.0/24, pobočka 10.60.0.0/24, fond VPN 10.90.0.0/24 a Access Server dostupný na súkromnej adrese na strane centrály. Router centrály potrebuje trasy pre prefix pobočky aj fond. Bez nich tunel nesie požiadavku a odpoveď odchádza cez predvolenú bránu, čo dáva klasické polootvorené spojenie.

V pobočke musí konektor preposielať pakety, ktoré nie sú adresované jemu: preposielanie IP v operačnom systéme plus povolenie obmedzené na rozhrania tunela a LAN; v Linuxe je to net.ipv4.ip_forward=1 spolu s pravidlami reťazca forward, vo Windows routing and remote access. Potom hostitelia pobočky potrebujú spätnú cestu: buď je konektor ich predvolená brána, alebo existujúca brána nesie konkrétne trasy pre prefixy centrály a fondu.

Smerovacia tabuľka konektora nenastavuje znova každého hostiteľa v LAN pobočky. Ak hostitelia ukazujú na iný router, spätné trasy patria tam, a ten musí prijať, že videná zdrojová adresa nie je susedom v lokálnej podsieti.

Čítajte zlyhanie ako cestu

Testujte v pevnom poradí. Najprv povolená služba z Access Servera na hostiteľa pobočky, potom tá istá služba z bežného hostiteľa centrály, potom opačný smer, ak to politika dovoľuje. Ak prvý prejde a druhý nie, problémom sú poslané trasy alebo pravidlá prístupu. Ak oba prejdú, ale odpovede neprichádzajú, skontrolujte preposielanie v pobočke a spätnú trasu v centrále.

Firewall hostiteľa je ďalší podozrivý, pretože pri smerovanom prístupe cieľ vidí ako zdroj adresu centrály alebo fondu. Pravidlo napísané pre lokálnu podsietu nesedí a paket sa zahodí.

Dva návrhy potrebujú viac. Prekrývajúce sa prefixy medzi lokalitami robia cieľ nejednoznačným a vyžadujú prečíslovanie alebo preklad, a clusterovaný Access Server vyžaduje, aby každý uzol mal funkčnú cestu ku konektoru pobočky. Zmeny aplikujte bežnou cestou uloženia a aktualizácie, znova pripojte konektor a overte z oboch strán; úplný reštart každého stroja nie je súčasťou postupu.

Návod Access Server pre spojenie lokalita-lokalita uvádza rovnaké nastavenia v poradí produktu; stojí za to ho raz prejsť.