Access Server'dagi shlyuz foydalanuvchisi: mijoz filialining LAN tarmog'ini marshrutlash

Mijozning OpenVPN tunnel manzilini ping qilish mumkin, lekin uning orqasidagi LAN tarmog'idagi hech bir xostga yetib bo'lmaydi. Access Server mijozga VPN hovuzidan manzil beradi va hovuz manzili server o'ziniki deb biladigan yagona narsa. Filial prefiksi alohida e'lon qilinishi kerak bo'lgan fakt, va shundan keyin ham filialga uzatuvchi, bosh ofisga qaytish yo'li kerak. Noto'g'ri joyga yozilgan yo'l hech narsani o'zgartirmaydi.

Ikki manzil, ikki xil egalik da'vosi

Mijoz ulanganda Access Server unga sozlangan VPN hovuzidan manzil beradi, masalan 10.90.0.0/24. Bu ajratish bitta xost uchun ijara. Xuddi shu mijoz 10.60.0.0/24 oldida ham turishini ulanish aytmaydi va server taxmin qilmaydi: LAN prefiksi faqat administrator e'lon qilganda ma'lum mijoz orqali yetib boriladi.

Shuning uchun boshqa mashinadagi statik yo'l yordam bermaydi. Yo'l 10.60.0.0/24 ni shu manzilga yubor deydi, lekin manzil hech qachon shlyuz deb belgilanmagan mijozga tegishli bo'lsa, server o'sha paketlarni u yerga yetkazishga asos topmaydi va mijoz steki ularni tashlab yuborishi mumkin. E'lon va yo'l bir mexanizmning ikki yarmi.

Shlyuz sozlamasi nima o'rnatadi

Admin Web UI'da e'lon foydalanuvchi xossasi: connector foydalanuvchisida Configure VPN gateway ni yoqing va haqiqiy prefiksni Network on the VPN client side ga kiriting. Bu foydalanuvchi boshqalar kabi autentifikatsiyadan o'tadi, shuning uchun nazoratsiz qurilmaga mos siyosat kerak, avtomatik kirish profili esa sir.

Server prefiksni shu mijozning hovuz manzili orqali yetib boriladigan deb hisoblaydi, Access Controls ostidagi marshrutlash sozlamasi boshqalarga nima aytilishini hal qiladi: oddiy mijozlarga yuboriladigan yo'llar va bosh ofis tarmoqlaridan mijoz manzillariga ruxsat beruvchi qoidalar. Filialga yetishi kerak bo'lgan tarmoqlar uchun marshrutlashni yoqing va ro'yxatni qisqa tuting.

Yaratilgan faylga yopishtirilgan Community uslubidagi ko'rsatma bu modelda qatnashmaydi. Mahsulot yuboradigan marshrutlash jadvalining egasi; qo'lda tuzatilgan satr qayta yoziladi.

Ikki tarmoqning qaytish yo'llarini to'ldiring

Reja: bosh ofis 10.40.0.0/24, filial 10.60.0.0/24, VPN hovuzi 10.90.0.0/24, Access Server esa bosh ofis tomonidagi xususiy manzilda. Routerga filial prefiksi va hovuz uchun yo'llar kerak. Ularsiz javob standart shlyuz orqali chiqadi, bu yarim ochiq ulanishni keltiradi.

Filialda connector o'ziga manzillanmagan paketlarni uzatishi kerak: OS'da IP uzatish va tunnel hamda LAN interfeyslari bilan cheklangan ruxsat; Linux'da net.ipv4.ip_forward=1 forward zanjir qoidalari bilan, Windows'da routing and remote access. So'ng xostlarga qaytish yo'li kerak: connector ularning standart shlyuzi yoki mavjud shlyuz alohida yo'llarni olib yuradi.

Connector'ning marshrutlash jadvali filial LAN'idagi har bir xostni qayta sozlamaydi. Xostlar boshqa routerga ishora qilsa, qaytish yo'llari o'sha yerda, va u ko'rayotgan manba manzil mahalliy quyi tarmoq qo'shnisi emasligini qabul qilishi kerak.

Muvaffaqiyatsizlikni yo'l deb o'qing

Belgilangan tartibda sinang. Avval Access Server'dan filial xostiga ruxsat etilgan xizmat, so'ng bosh ofisning oddiy xostidan shu xizmat, so'ng siyosat ruxsat bersa qarama-qarshi yo'nalish. Birinchisi o'tib ikkinchisi muvaffaqiyatsiz bo'lsa, yuborilgan yo'llar yoki kirish qoidalari aybdor. Ikkisi o'tib javob kelmasa, filialdagi uzatishni va qaytish yo'lini tekshiring.

Xost firewall'i keyingi gumon, chunki marshrutlangan kirishda manzil manba sifatida bosh ofis yoki hovuz manzilini ko'radi. Mahalliy quyi tarmoq uchun yozilgan qoida mos kelmaydi.

Ikki dizayn ko'proq talab qiladi. Ustma-ust tushgan prefikslar manzilni noaniq qiladi va qayta raqamlash talab qiladi; klasterli Access Server har bir tugun connector'ga ishlaydigan yo'lga ega bo'lishini talab qiladi. O'zgarishlarni oddiy saqlash yo'li bilan qo'llang, connector'ni qayta ulang va ikki tomondan tekshiring.

Access Server'ning site-to-site qo'llanmasi xuddi shu sozlamalarni mahsulot tartibida sanaydi.