Nega OpenVPN mijozlari shlyuzning IPsec selektorlarini o‘tkazib yuboradi

Shlyuzdan uzoqdagi IPsec tunnelining orqasidagi xostga ping yuboring va u toza javob beradi, shuning uchun tunnel sog‘lom ko‘rinadi va chipta oldinga siljiydi. Keyin ulangan mijoz o‘sha xostni sinab ko‘radi va hech narsa qaytmaydi. O‘sha ping hech qachon mijoz oqimining isboti bo‘lmagan, chunki u shlyuzning o‘z manba manzili bilan chiqqan va boshqa IPsec selektoriga mos kelgan. Bu ikki holat nima uchun ajralishini tushunish tuzatishning katta qismidir.

Shlyuzning pingi mijozingiz hech qachon ishlatmaydigan oqimni tekshiradi

Qaysi siyosat qo‘llanishini manba manzili hal qiladi. Shlyuzda yaratilgan paket o‘zining mahalliy LAN yoki tunnel oxirgi nuqtasi manzili bilan chiqadi va unga mos siyosat aynan shu holat uchun yozilgan. Mijoz paketi OpenVPN interfeysiga mijozlar hovuzidagi manzil bilan keladi, bu butunlay boshqa selektor.

Shuning uchun nosozlik marshrutlash muammosiga o‘xshaydi, aslida esa bu siyosat qamrovi muammosi. Shlyuzdan yetib borish tengdosh ishlayotganini va takliflar kelishilganini isbotlaydi, hovuz himoyalanganmi yoki yo‘qmi haqida hech narsa isbotlamaydi.

Ilovaga haqiqatan kerak bo‘lgan uzoq prefiksni itaring

Ulangan mijozlar uchun 10.8.0.0/24 va himoyalangan uzoq tarmoq uchun 172.30.239.0/25 namuna juftligini oling. Mijozga ikkinchi prefiksga marshrut kerak, shlyuzning LAN manziliga emas va boshqa tunnel manziliga ham emas. Hovuzga itarilgan marshrut mijozni o‘sha trafikni shlyuzga topshirishga majbur qiladi. Usiz paket siz tuzatayotgan siyosat qaroriga hech qachon yetib bormaydi.

Itarilgan marshrutlarni qabul qiladigan Community serverida ko‘rsatma haqiqiy maskni oladi: push "route 172.30.239.0 255.255.255.128". Access Server xuddi shu manzilni o‘rnatilgan versiyaning xususiy tarmoq yoki kirish qoidalari sozlamalari orqali sozlaydi, marshrutlangan yoki tarjima qilingan rejim ataylab tanlanadi. Yaratilgan firewall zanjirlarini egasi konfiguratsiyasi o‘rniga tahrirlash ishlaydigan o‘rnatishni qayta tiklab bo‘lmaydigan holatga keltiradigan yo‘ldir.

Ulangandan keyin serverning niyatini emas, mijozning marshrutlash jadvalini o‘qing. Faqat hovuzni qamrab olgan marshrut itarish hech qachon yetib kelmaganini bildiradi, tunnel orqali standart marshrut esa bu talabdan kengroq va keyinroq sizni hayratda qoldiradi. Mask va prefiksni tekshiring, chunki /25 ni /24 sifatida itarish qo‘shni manzillar trafigini uni ko‘tara olmaydigan yo‘lga yuboradi. So‘ngra mijoz shu manzil uchun tunnel interfeysini tanlaganini tasdiqlang.

Selektorlar mijozlar hovuzini qamrab olsin

Mijoz manzillarini saqlaydigan marshrutlangan kirish uchun IPsec siyosati hovuz va uzoq prefiks o‘rtasidagi trafikni himoya qilishi kerak. Shlyuzning o‘z LAN manzili uchun yozilgan selektorlar pingni o‘tkazadi va mijoz so‘rovini tashlab yuboradi, bu esa aynan shu tekshiruvni boshlagan assimetriyadir.

Kelishilgan siyosatni va sozlangan takliflarni ko‘rib chiqing, masalan strongSwan’da ipsec statusall yoki sizning amalga oshirishingiz uchun mos holat buyrug‘i bilan. Siyosatga asoslangan IPsec’da oddiy marshrut jismoniy interfeysga ishora qilishi mumkin, mos trafik esa hanuz shifrlanadi, shuning uchun tunnel qurilmasi yo‘qligi hech narsani isbotlamaydi. Selektor juftlarini yozib olgan hovuz va prefiks bilan solishtiring.

Shlyuzdagi umumiy manba NAT ham moslikni buzishi mumkin. Agar masquerade qoidasi siyosat tekshiruvidan oldin mijoz manbasini qayta yozsa, paket endi siz yozgan selektorga o‘xshamaydi. Keng masquerade qoidasi ikkinchi VPN uchun yomon tuzatish bo‘lishining bir sababi shu: qaysi siyosat qo‘llanishini va uzoq tomon qaysi manzilni qayd etishini o‘zgartiradi. Marshrutlamoqchi bo‘lgan trafikni istisno qiling yoki uni ataylab tarjima qiling va selektorlarni yangilang.

Marshrutlash yoki tarjimani ataylab tanlang

Marshrutlash mijoz manzilini uzoq tomon uchun ko‘rinadigan saqlaydi, shuning uchun uzoq jurnallar va manba bo‘yicha qoidalar mazmunli qoladi, va uzoq shlyuz hovuzga qaytish yo‘lini bilishini talab qiladi. Tarjima hovuzni bitta manzil ortiga yashiradi, bu qaytish marshruti muammosini yo‘q qiladi va har bir mijozning o‘ziga xosligini buzadi.

Bitta dizayn tanlang va uni yozib qo‘ying, chunki ikkalasi ham boshqa selektorlar va boshqa firewall tartibini talab qiladi. Yarim qo‘llanilgan masquerade ularning orasida qoladi va hech birini qanoatlantirmaydi. Yozilgan tanlov keyingi injinerga xatoni ataylab qilingan qarordan ajratishga yordam beradi.

Uzatish va javobda tsiklni yoping

Shlyuz siz nazarda tutgan protokol va manzilni uzatishi kerak, bu yoqilgan IP uzatishni va juftlikka ruxsat beruvchi uzatish zanjirini bildiradi. Keyin uzoq tomon javoblarni IPsec yo‘li bilan qaytarishi kerak va bu ularning shlyuzidagi marshrutlash qarori, siznikida emas. Ikkala yarim ham oddiy konfiguratsiya va ikkalasini ham yarim qoldirish oson. Ularni alohida sinab ko‘ring, shunda yetishmayotgan uzatish qoidasi buzilgan tunnel deb qabul qilinmasin.

Mijozdan ilovaga bitta haqiqiy so‘rov bilan tekshiring, uning OpenVPN interfeysi, IPsec qarori va uzoq xostdan o‘tishini kuzating. Javobni alohida kuzatuv sifatida ko‘ring, chunki kelayotgan so‘rov va hech qachon qaytmaydigan javob mijoz o‘rnidan bir xil ko‘rinadi. Bitta kuzatilgan so‘rov shlyuzdan qancha ping bo‘lsa ham qimmatliroq.

Sinov vaqtida manzil ruxsatini tor tuting va qoidasiz mijoz xizmatga yetib bora olmasligini tasdiqlang. O‘rnatilgan marshrut va o‘rnatilgan assotsiatsiya berilgan ruxsat bilan bir xil emas.