Корисник гејтвеја у Access Server-у: рутирање LAN-а огранка клијента

Можете пинговати адресу тунела клијента OpenVPN и ипак не стићи ниједноg домаћина на LAN-у иза ње. Access Server даје клијенту адресу из VPN пула, а адреса пула је све што сервер зна да поседује. Префикс огранка је одвојена чињеница која се мора декларисати, и чак и тада огранак тражи проследника, а централа повратни пут. Рута написана на погрешном месту не мења ништа.

Две адресе, два различита захтева за својину

Када се клијент повеже, Access Server му додељује адресу из конфигурисаног VPN пула, на пример 10.90.0.0/24. Та додела је закуп за једног домаћина. Ништа у вези не каже да исти клијент стоји и испред 10.60.0.0/24, а сервер неће нагађати: LAN префикс је преко одређеног клијента доступан само ако администратор то декларише.

Зато статична рута на другом рачунару не помаже. Рута каже пошаљи 10.60.0.0/24 на ову адресу, али ако адреса припада клијенту који никада није означен као гејтвеј, сервер нема разлога да те пакете достави тамо, а стек клијента их може одбацити. Декларација и рута су две половине истог механизма.

Шта подешавање гејтвеја заиста инсталира

У Admin Web UI декларација је својство корисника: укључите Configure VPN gateway код корисника конектора и унесите прави префикс огранка у Network on the VPN client side. Тај корисник се аутентификује као и сваки други, зато му треба политика акредитива за уређај без надзора, а његов профил аутоматске пријаве је тајна.

Иза тог поља сервер третира префикс као доступан преко адресе пула тог клијента, а конфигурација рутирања под Access Controls одлучује шта се саопштава другим клијентима: руте које се шаљу обичним клијентима и правила приступа која дозвољавају саобраћај из мрежа централе ка адресама и подмрежама клијената. Укључите рутирање за мреже које треба да стигну до огранка и држите листу дозвољених кратком.

Community директива залепљена у генерисану датотеку не учествује у овом моделу. Производ је власник табеле рутирања коју шаље; ручно измењена линија се преписује или игнорише.

Завршите повратне путеве обе мреже

Конкретан план: централа 10.40.0.0/24, огранак 10.60.0.0/24, VPN пул 10.90.0.0/24, а Access Server доступан на приватној адреси са стране централе. Рутер централе тражи руте за префикс огранка и за пул. Без њих тунел носи захтев и одговор излази кроз подразумевани гејтвеј, што даје класичну полуотворену везу.

У огранку конектор мора да прослеђује пакете који нису адресирани на њега: IP прослеђивање у његовом оперативном систему плус дозвола ограничена на интерфејсе тунела и LAN-а; на Linux-у је то net.ipv4.ip_forward=1 са правилима forward ланца, на Windows-у routing and remote access. Затим домаћини огранка траже повратни пут: или је конектор њихов подразумевани гејтвеј, или постојећи гејтвеј носи конкретне руте.

Табела рутирања конектора не реконфигурише сваки домаћин на LAN-у огранка. Ако домаћини показују на други рутер, повратне руте припадају тамо, и он мора да прихвати да изворна адреса коју види није сусед у локалној подмрежи.

Читајте неуспех као пут

Тестирајте по фиксном редоследу. Прво дозвољена услуга од Access Server-а до домаћина у огранку, затим иста услуга са обичног домаћина централе, затим супротан смер ако политика дозвољава. Ако прво прође а друго не, проблем су послате руте или правила приступа. Ако обоје прође али одговори не стижу, проверите прослеђивање у огранку и повратну руту у централи.

Firewall домаћина је следећи сумњивац, јер при рутираном приступу одредиште види адресу централе или пула као извор. Правило написано за локалну подмрежу неће се поклопити и пакет се одбацује.

Два дизајна траже више. Префикси који се преклапају између локација чине одредиште двосмисленим и траже пренумерацију или превод, а кластерисани Access Server тражи да сваки чвор има исправан пут до конектора огранка. Примените измене уобичајеним путем чувања и ажурирања, поново повежите конектор и проверите са обе стране; потпуно рестартовање сваког рачунара није део поступка.

Упутство Access Server-а за везу локација-локација наводи иста подешавања по редоследу производа.