pfSense OpenVPN: đến một mạng phía sau router khác

Máy tính xách tay của bạn đến được LAN của pfSense qua VPN mà vẫn không đến được một dịch vụ sâu thêm hai bước nhảy, và khác biệt là một quyết định định tuyến cho mỗi chủ thể. Ba thiết bị phải đồng ý trước khi một gói tin hoàn tất hành trình khứ hồi: máy khách, tường lửa và router thực sự sở hữu mạng đích. Thiếu bất kỳ cái nào thì triệu chứng trông giống hệt nhau.

Hãy theo một gói tin qua ba quyết định đó trước khi thay đổi một quy tắc, vì mỗi chủ thể có một cách kiểm soát và một kiểu hỏng khác nhau.

Một gói tin, ba quyết định định tuyến

Máy khách quyết định đích có thuộc đường hầm hay không, và chỉ có thể quyết định từ những gì nó biết: một tuyến được đẩy xuống, một tuyến cục bộ hoặc một tuyến mặc định đã bao trùm mọi thứ. pfSense quyết định gửi gói tin tiếp theo đi đâu, mà với một mạng phía sau router khác nghĩa là một tuyến tĩnh qua cổng có thể tiếp cận trên giao diện đúng. Router phía dưới quyết định liệu nó có biết đường quay về pool VPN hay không, và nếu không thì phản hồi bị bỏ hoặc bị gửi đến một nơi vô ích. Mỗi quyết định độc lập với hai quyết định kia.

Sự cố của bất kỳ cái nào trong số chúng tạo ra cùng một báo cáo cho người dùng. Đó là lý do thứ tự gỡ lỗi quan trọng hơn công cụ.

Cho máy khách một tiền tố, không phải phỏng đoán

Trên một máy chủ pfSense SSL/TLS có mạng đường hầm IPv4 lớn hơn /30, trường IPv4 Local network(s) phân phối tuyến cho máy khách khi chúng kết nối. Hãy thêm tiền tố phía dưới ở đó thay vì trông chờ máy khách tự nghĩ ra. Sau đó đọc bảng thực tế của máy khách sau khi kết nối, vì một hồ sơ có route-nopull hoặc một bộ lọc tuyến có thể bỏ qua những gì máy chủ gửi. Máy chủ có thể hoàn toàn đúng trong khi máy khách không cài đặt gì.

Các chế độ máy chủ và cấu trúc khác có giới hạn khác nhau, và chính sách theo máy khách hoặc theo kết nối có thể thay đổi những gì một máy khách cụ thể nhận được. Hãy kiểm chứng trên máy khách quan trọng, không phải trên máy bạn tình cờ thử trước.

Hướng pfSense về router nội bộ

Một tuyến tĩnh trong pfSense cần một cổng được định nghĩa và có thể tiếp cận, và giao diện được chọn cho cổng đó phải là giao diện thực sự đến được nó, như hướng dẫn tuyến tĩnh của Netgate mô tả. Trong một bố cục minh họa, liên kết trung chuyển là 192.168.77.1 trên tường lửa và 192.168.77.2 trên router nội bộ, với mạng dịch vụ ở 172.16.30.0/25 phía sau. Khi đó tuyến nêu tiền tố và bước nhảy kế tiếp, không phải địa chỉ của dịch vụ. Dùng một địa chỉ từ mạng xa làm cổng là cách phổ biến để tạo một tuyến trông đúng mà không chuyển tiếp đến đâu.

Đặt tên cho một giao diện không mô tả các mạng phía sau nó. Tuyến tĩnh chính là mô tả đó.

Phía xa phải biết pool

Router phía dưới cần một tuyến quay về cho pool, trong ví dụ này là 10.55.0.0/24 qua 192.168.77.1, trừ khi một tuyến mặc định hoặc một giao thức động đã cung cấp sẵn. Cổng của chính máy chủ dịch vụ phải dẫn về router đó, điều thường đúng khi router là cổng mặc định của nó và sai khi máy chủ được cấu hình thủ công. Định tuyến theo chính sách trên tường lửa cũng có thể ghi đè bảng cho lưu lượng cụ thể, nên hãy kiểm tra xem một quy tắc có chọn cổng khác không trước khi kết luận tuyến sai.

Thiết kế này không cần dịch địa chỉ, và việc để địa chỉ nguồn của máy khách hiển thị cho phép mạng phía dưới áp dụng chính sách riêng của nó.

Để nghiệm thu, hãy theo một yêu cầu mới qua lối vào đường hầm, lối ra nội bộ của tường lửa và phản hồi từ đích. Nếu thay vào đó dịch địa chỉ được dùng có chủ đích, hãy ghi lại nguồn mà mạng phía dưới nhìn thấy và cách phản hồi được mong đợi quay về.

Lưu kế hoạch ba chủ thể bên cạnh ứng dụng được cho phép, để quản trị viên tiếp theo có thể dựng lại đường đi thay vì khám phá lại nó.