Người dùng cổng trong Access Server: định tuyến LAN chi nhánh của máy khách

Bạn có thể ping địa chỉ tunnel của một máy khách OpenVPN mà vẫn không tới được bất kỳ máy chủ nào trên LAN phía sau. Access Server cấp cho máy khách một địa chỉ từ pool VPN, và địa chỉ pool là tất cả những gì máy chủ biết là của mình. Tiền tố chi nhánh là một sự kiện riêng phải được khai báo, và ngay cả khi đó chi nhánh cần bộ chuyển tiếp còn trụ sở cần tuyến quay về. Tuyến ghi sai chỗ không thay đổi gì.

Hai địa chỉ, hai yêu sách sở hữu

Khi máy khách kết nối, Access Server cấp cho nó một địa chỉ từ pool VPN đã cấu hình, ví dụ 10.90.0.0/24. Việc cấp đó là hợp đồng thuê cho một máy chủ. Không có gì nói rằng cùng máy khách đó cũng đứng trước 10.60.0.0/24, và máy chủ sẽ không đoán: tiền tố LAN chỉ tới được qua một máy khách cụ thể nếu quản trị viên khai báo.

Vì thế tuyến tĩnh trên máy khác không giúp được. Tuyến nói hãy gửi 10.60.0.0/24 tới địa chỉ này, nhưng nếu địa chỉ thuộc về máy khách chưa từng được đánh dấu là cổng, máy chủ không có lý do giao các gói đó tới đó, và ngăn xếp của máy khách có thể bỏ chúng. Khai báo và tuyến là hai nửa của cùng một cơ chế.

Cấu hình cổng cài đặt điều gì

Trong Admin Web UI, khai báo là thuộc tính người dùng: bật Configure VPN gateway ở người dùng connector và nhập tiền tố thật vào Network on the VPN client side. Người dùng đó xác thực như mọi người khác, nên cần chính sách thông tin xác thực phù hợp thiết bị không giám sát, và hồ sơ đăng nhập tự động là bí mật.

Máy chủ coi tiền tố là tới được qua địa chỉ pool của máy khách đó, và cấu hình định tuyến dưới Access Controls quyết định điều gì được thông báo cho người khác: tuyến gửi tới máy khách thường và quy tắc truy cập cho phép lưu lượng từ mạng trụ sở tới địa chỉ máy khách. Bật định tuyến cho các mạng cần tới chi nhánh và giữ danh sách ngắn.

Một chỉ thị kiểu Community dán vào tệp được tạo không tham gia mô hình này. Sản phẩm sở hữu bảng định tuyến mà nó gửi; dòng sửa tay sẽ bị ghi đè.

Hoàn tất tuyến quay về của cả hai mạng

Kế hoạch: trụ sở 10.40.0.0/24, chi nhánh 10.60.0.0/24, pool VPN 10.90.0.0/24, và Access Server tới được ở địa chỉ riêng phía trụ sở. Bộ định tuyến cần tuyến cho tiền tố chi nhánh và pool. Không có chúng phản hồi đi ra qua cổng mặc định, tạo kết nối nửa mở.

Tại chi nhánh, connector phải chuyển tiếp các gói không gửi cho chính nó: chuyển tiếp IP trong hệ điều hành và quyền hạn chế cho giao diện tunnel và LAN; trên Linux là net.ipv4.ip_forward=1 cùng quy tắc chuỗi forward, trên Windows là routing and remote access. Sau đó máy chủ cần tuyến quay về: connector là cổng mặc định của chúng, hoặc cổng hiện có mang tuyến riêng.

Bảng định tuyến của connector không cấu hình lại mọi máy chủ trên LAN. Nếu máy chủ trỏ tới bộ định tuyến khác, tuyến quay về thuộc về đó, và nó phải chấp nhận rằng địa chỉ nguồn nó thấy không phải hàng xóm trong subnet cục bộ.

Đọc lỗi như một tuyến đường

Kiểm tra theo thứ tự cố định. Trước hết dịch vụ được phép từ Access Server tới máy chủ chi nhánh, rồi cùng dịch vụ từ máy chủ thường của trụ sở, rồi chiều ngược nếu chính sách cho phép. Nếu cái đầu qua mà cái sau hỏng, vấn đề là tuyến đã gửi hoặc quy tắc truy cập. Nếu cả hai qua mà không có phản hồi, hãy xem việc chuyển tiếp ở chi nhánh và tuyến quay về.

Tường lửa của máy chủ là nghi ngờ tiếp theo, vì với truy cập định tuyến, đích thấy địa chỉ trụ sở hoặc pool là nguồn. Quy tắc viết cho subnet cục bộ sẽ không khớp.

Hai thiết kế cần nhiều hơn. Tiền tố chồng lấn giữa các site làm đích mơ hồ và cần đánh số lại hoặc dịch, và Access Server dạng cụm cần mọi nút có tuyến hoạt động tới connector. Áp dụng thay đổi theo đường lưu bình thường, kết nối lại connector và xác minh từ hai phía.

Hướng dẫn site-to-site của Access Server liệt kê đúng các thiết lập đó theo thứ tự sản phẩm.