Eno vozlišče OpenVPN, tri omrežja LAN: načrt naslovov in datoteke iroute

Tri zasebna omrežja LAN se lahko srečajo na enem vozlišču, ne da bi morala katera koli lokacija poznati notranjo zgradbo drugih, in celotna zasnova sloni na štirih kratkih konfiguracijskih odločitvah. Deluje ne zaradi eksotične funkcije protokola, temveč zaradi načrta naslovov, ki ga ni treba ugibati, in poti za posamezne odjemalce, ki vozlišču povedo, katera podružnica ima kateri prefiks. Če je eno od tega napačno, se tunel vseeno dvigne, in prav to naredi okvaro zmedljivo.

Korake opravite po vrsti. Vsak je odvisen od načrta prejšnjega koraka in noben ne zahteva novega potrditvenega organa.

Začnite z načrtom, ki ga ni treba ugibati

Zapišite štiri disjunktne prefikse, preden se dotaknete konfiguracijske datoteke: omrežje LAN samega vozlišča, omrežje LAN vsake podružnice in nabor, ki se dodeli gibljivim odjemalcem. Disjunktnost je tisto, kar ohranja vse drugo preprosto, ker prekrivajoči se razponi spremenijo usmerjanje v uganko najdaljšega ujemanja, ki je nobena konfiguracija za posameznega odjemalca ne popravi. Nato preverite, kateri stroj je privzeta prehodna naprava vsakega omrežja LAN, saj mora usmerjevalnik podružnice, ki ni prehodna naprava lastnega omrežja, oddaljene poti namestiti povsem drugje. Nazadnje določite overjena imena, ki označujejo vsako podružnico, ker so ta imena ključi, po katerih se iščejo datoteke za posamezne odjemalce.

Ponazoritveni načrt drži nabor daleč od treh omrežij LAN. Vaš bo drugačen in edino trdo pravilo je, da se nobena dva razpona ne prekrivata.

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

Povejte jedru vozlišča, kje so podružnice

Vozlišče potrebuje za vsako podružnico dve informaciji: jedrno pot, ki pošlje prefiks v tunelsko napravo, in vnos iroute, ki procesu OpenVPN pove, kateri odjemalec ga ima v lasti. Sama jedrna pot dostavi pakete v tunel in se tam ustavi, ker mora demon še vedno odločiti, kateri peer naj jih prejme. Sam vnos iroute pusti te pakete v jedru brez poti, ki bi ji sledili. Obe vrstici spadata v konfiguracijo, ki jo demon dejansko naloži, in to je vredno preveriti, preden razhroščujete karkoli drugega.

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

Pustite client-to-client izklopljen, ko naj bo jedro točka uveljavljanja pravil. Ta možnost pretovarja promet med peerji znotraj demona, kar je priročno in hkrati pomeni, da vaša pravila posredovanja toka nikoli ne vidijo. Vse spodaj predpostavlja, da jedro vidi vsak paket med podružnicami.

Dajte vsaki podružnici poti, ki jih potrebuje

Vsaka podružnica potrebuje poti do drugih podružnic in do omrežja LAN vozlišča, poti do lastnega povezanega omrežja LAN pa ne potrebuje. Oddaljene prefikse potiskajte z vozlišča, namesto da jih lepite v vsak usmerjevalnik, tako da četrta lokacija pozneje pomeni eno novo datoteko na odjemalca namesto štirih sprememb. Datoteka na odjemalca nosi tudi vrstico iroute, ki ohranja lastništvo in oglaševanje na istem mestu. Naredite imenik in njegove datoteke berljive po modelu pravic strežnika, sicer iskanje spodleti brez sporočila.

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

Četrta lokacija sledi istemu vzorcu: ločeno overjeno ime, lastniški prefiks, jedrna pot na vozlišču, vnos iroute in oznanila samo lokacijam, ki jim je dovoljeno, da jo dosežejo.

Preizkusite v obeh smereh, preden rečete, da je končano

Vklopite posredovanje IPv4 na vseh treh usmerjevalnikih, nato potrdite, da požarni zid dovoljuje predvidene tokove v obeh smereh, ker enosmerni preizkus uspe s pokvarjeno povratno potjo pogosteje, kot kdo pričakuje. Med lokacijami prevajanje izvornega naslova ni potrebno, in prav ohranitev izvirnega vira omogoča vsaki podružnici, da za zahtevo uporabi svojo politiko.

Preizkusite z gostitelja v omrežju LAN ene podružnice do storitve v drugi, nato obrnite smer in nato preizkusite s podružnice v omrežje LAN vozlišča. Ti trije rezultati so različni dokazi in noben ne pomeni drugih. Če usmerjevalnik podružnice ni privzeta prehodna naprava njenega omrežja LAN, namestite oddaljene prefikse na pravo prehodno napravo in vključite tudi nabor, ko morajo tunelski odjemalci začeti povezave v to omrežje.

Zabeležite načrt, datoteke na odjemalca in pravila požarnega zidu kot en dokument, ker bo naslednja dodana lokacija presojana po njih.

Zasnova drži skupaj, ker ima vsak sloj eno nalogo: načrt ohranja prefikse enolične, jedrna pot premika pakete, iroute imenuje lastnika in požarni zid odloči, kaj je dovoljeno. Ko se kaj pokvari, je ta seznam tudi vrstni red preverjanja.