Uporabnik prehoda v Access Server: usmerjanje LAN podružnice odjemalca

Lahko pingate naslov tunela odjemalca OpenVPN in vseeno ne dosežete nobenega gostitelja v LAN za njim. Access Server dodeli odjemalcu naslov iz bazena VPN, naslov bazena pa je vse, kar strežnik ve, da je njegovo. Predpona podružnice je ločeno dejstvo, ki ga je treba deklarirati, in tudi takrat podružnica potrebuje posredovalec, sedež pa povratno pot. Pot, vpisana na napačnem mestu, je videti kot rešitev in nič ne spremeni.

Dva naslova, dve različni zahtevi po lastništvu

Ko se odjemalec poveže, mu Access Server dodeli naslov iz konfiguriranega bazena VPN, na primer 10.90.0.0/24. Ta dodelitev je zakup za enega gostitelja. Nič v povezavi ne pravi, da isti odjemalec stoji tudi pred 10.60.0.0/24, in strežnik ne bo ugibal: predpona LAN je prek določenega odjemalca dosegljiva le, če jo skrbnik deklarira.

Zato statična pot na drugem stroju ne pomaga. Pot pravi pošlji 10.60.0.0/24 na ta naslov, a če naslov pripada odjemalcu, ki nikoli ni bil označen kot prehod, strežnik nima razloga, da bi te pakete dostavil tja, odjemalčev sklad pa jih lahko zavrže. Deklaracija in pot sta dve polovici istega mehanizma.

Kaj nastavitev prehoda dejansko namesti

V Admin Web UI je deklaracija uporabniška lastnost: omogočite Configure VPN gateway pri uporabniku konektorja in vnesite pravo predpono podružnice v Network on the VPN client side. Ta uporabnik se preverja kot vsak drug, zato potrebuje politiko poverilnic za napravo brez nadzora, njegov profil samodejne prijave pa je skrivnost.

Za tem poljem strežnik obravnava predpono kot dosegljivo prek naslova bazena tega odjemalca, konfiguracija usmerjanja v Access Controls pa določi, kaj se sporoči drugim odjemalcem: poti, poslane običajnim odjemalcem, in pravila dostopa, ki dovoljujejo promet iz omrežij sedeža na naslove in podomrežja odjemalcev. Omogočite usmerjanje za omrežja, ki morajo doseči podružnico, in seznam dovoljenih naj bo kratek.

Smernica v slogu Community, prilepljena v ustvarjeno datoteko, pri tem modelu ne sodeluje. Izdelek ima v lasti tabelo usmerjanja, ki jo pošilja; ročno urejena vrstica se prepiše ali prezre.

Dokončajte povratni poti obeh omrežij

Konkreten načrt: sedež 10.40.0.0/24, podružnica 10.60.0.0/24, bazen VPN 10.90.0.0/24, Access Server pa dosegljiv na zasebnem naslovu na strani sedeža. Usmerjevalnik sedeža potrebuje poti za predpono podružnice in za bazen. Brez njih tunel nosi zahtevo in odgovor odide skozi privzeti prehod, kar da klasično na pol odprto povezavo.

V podružnici mora konektor posredovati pakete, ki niso naslovljeni nanj: posredovanje IP v operacijskem sistemu in dovoljenje, omejeno na vmesnike tunela in LAN; v Linuxu je to net.ipv4.ip_forward=1 skupaj s pravili verige forward, v Windowsu routing and remote access. Nato gostitelji podružnice potrebujejo povratno pot: bodisi je konektor njihov privzeti prehod, bodisi obstoječi prehod nosi posebne poti za predpone sedeža in bazena.

Tabela usmerjanja konektorja ne nastavi znova vsakega gostitelja v LAN podružnice. Če gostitelji kažejo na drug usmerjevalnik, povratne poti pripadajo tja, ta pa mora sprejeti, da videni izvorni naslov ni sosed v lokalnem podomrežju.

Beri odpoved kot pot

Preizkusite v fiksnem vrstnem redu. Najprej dovoljena storitev od Access Server do gostitelja v podružnici, nato ista storitev z običajnega gostitelja sedeža, nato obratna smer, če politika dovoljuje. Če prva uspe in druga ne, so problem poslane poti ali pravila dostopa. Če obe uspeta, odgovorov pa ni, preverite posredovanje v podružnici in povratno pot na sedežu.

Požarni zid gostitelja je naslednji sumljivec, ker pri usmerjenem dostopu cilj vidi kot vir naslov sedeža ali bazena. Pravilo za lokalno podomrežje se ne bo ujemalo in paket se zavrže.

Dve zasnovi potrebujeta več. Prekrivajoče se predpone med lokacijami naredijo cilj dvoumen in zahtevajo preštevilčenje ali prevajanje, grozdni Access Server pa zahteva, da ima vsako vozlišče delujočo pot do konektorja podružnice. Spremembe uveljavite po običajni poti shranjevanja in posodabljanja, znova povežite konektor in preverite z obeh strani; popoln ponovni zagon vsakega stroja ni del postopka.

Vodnik Access Server za povezavo lokacija-lokacija našteva enake nastavitve v vrstnem redu izdelka; vredno ga je enkrat prehoditi.