Përdoruesi i portës në Access Server: rrugëtimi i LAN-it të degës së një klienti

Mund të bëni ping në adresën e tunelit të një klienti OpenVPN dhe prapë të mos arrini asnjë host në LAN-in pas tij. Access Server i jep klientit një adresë nga pishina VPN, dhe adresa e pishinës është gjithçka që serveri di se zotëron. Prefiksi i degës është fakt i veçantë që duhet deklaruar, dhe edhe atëherë dega ka nevojë për një përcjellës, ndërsa selia për një rrugë kthimi. Një rrugë e shkruar në vendin e gabuar nuk ndryshon asgjë.

Dy adresa, dy pretendime pronësie

Kur një klient lidhet, Access Server i cakton një adresë nga pishina VPN e konfiguruar, për shembull 10.90.0.0/24. Ky caktim është qira për një host të vetëm. Asgjë në lidhje nuk thotë se i njëjti klient qëndron edhe përpara 10.60.0.0/24, dhe serveri nuk do të hamendësojë: një prefiks LAN është i arritshëm përmes një klienti të caktuar vetëm nëse administratori e deklaron.

Prandaj një rrugë statike në një makinë tjetër nuk ndihmon. Rruga thotë dërgo 10.60.0.0/24 në këtë adresë, por nëse adresa i përket një klienti që nuk u shënua kurrë si portë, serveri nuk ka arsye t'i dorëzojë ato paketa atje, dhe stiva e klientit mund t'i hedhë. Deklarata dhe rruga janë dy gjysma të të njëjtit mekanizëm.

Çfarë instalon cilësimi i portës

Në Admin Web UI deklarata është veti përdoruesi: aktivizoni Configure VPN gateway te përdoruesi lidhës dhe vendosni prefiksin e vërtetë në Network on the VPN client side. Ky përdorues vërtetohet si çdo tjetër, prandaj kërkon një politikë kredencialesh për pajisje pa mbikëqyrje, dhe profili i hyrjes automatike është sekret.

Pas atij kutie serveri e trajton prefiksin si të arritshëm përmes adresës së pishinës së atij klienti, dhe konfigurimi i rrugëtimit nën Access Controls vendos çfarë u thuhet klientëve të tjerë: rrugët që dërgohen te klientët e zakonshëm dhe rregullat e aksesit nga rrjetet e selisë drejt adresave dhe nënrrjeteve të klientëve. Aktivizoni rrugëtimin për rrjetet që duhet të arrijnë degën dhe mbani listën të shkurtër.

Një direktivë e stilit Community e ngjitur në një skedar të gjeneruar nuk merr pjesë në këtë model. Produkti zotëron tabelën e rrugëtimit që dërgon; një rresht i redaktuar me dorë mbishkruhet ose injorohet.

Plotësoni rrugët e kthimit të dy rrjeteve

Një plan konkret: selia 10.40.0.0/24, dega 10.60.0.0/24, pishina VPN 10.90.0.0/24, dhe Access Server i arritshëm në një adresë private nga ana e selisë. Ruteri i selisë ka nevojë për rrugë për prefiksin e degës dhe për pishinën. Pa to tuneli e mbart kërkesën dhe përgjigja del përmes portës së paracaktuar, gjë që krijon lidhjen gjysmë të hapur.

Në degë lidhësi duhet të përcjellë paketat që nuk i drejtohen atij: përcjellje IP në sistemin operativ plus një leje e kufizuar te ndërfaqet e tunelit dhe të LAN-it; në Linux është net.ipv4.ip_forward=1 me rregullat e zinxhirit forward, në Windows është routing and remote access. Pastaj hostet e degës kanë nevojë për një rrugë kthimi: ose lidhësi është porta e tyre e paracaktuar, ose porta ekzistuese mban rrugë të veçanta.

Tabela e rrugëtimit e lidhësit nuk rikonfiguron çdo host në LAN-in e degës. Nëse hostet tregojnë një ruter tjetër, rrugët e kthimit i përkasin atij, dhe ai duhet të pranojë që adresa burimore që sheh nuk është fqinj në nënrrjetin lokal.

Lexoni një dështim si rrugë

Testoni në një rend fiks. Së pari një shërbim i lejuar nga Access Server te një host i degës, pastaj i njëjti shërbim nga një host i selisë, pastaj drejtimi i kundërt nëse politika e lejon. Nëse i pari kalon dhe i dyti dështon, problemi janë rrugët e dërguara ose rregullat e aksesit. Nëse të dy kalojnë por përgjigjet nuk vijnë, shqyrtoni përcjelljen në degë dhe rrugën e kthimit në seli.

Firewall-i i hostit është i dyshuari tjetër, sepse me akses të rrugëtuar destinacioni sheh si burim një adresë të selisë ose të pishinës. Një rregull i shkruar për nënrrjetin lokal nuk përputhet dhe paketa hidhet.

Dy modele kërkojnë më shumë. Prefikset që mbivendosen kërkojnë rinumërim ose përkthim, dhe një Access Server i grupëzuar kërkon që çdo nyje të ketë rrugë funksionale te lidhësi i degës. Zbatoni ndryshimet përmes rrugës normale të ruajtjes, rilidhni lidhësin dhe verifikoni nga të dy skajet; rindezja e plotë e çdo makine nuk është pjesë e procedurës.

Udhëzuesi site-to-site i Access Server liston të njëjtat cilësime sipas rendit të produktit; ia vlen ta ndiqni një herë.