내부 망은 보기와 같이 구성되어있습니다.
L2TP/IPSec PSK로 구성하고자 합니다.
VPN Access Point를 구성해야 하는데 도식도와 같이 별도의 회선을 통해 외부망과 연결되어있습니다.
현재 Centos 7 + racoon + xl2tpd + ppp + firewalld 조합으로 구성하였습니다.
어떻게 어떻게 되어서 외부접속까지는 되게 했는데....
내부 DNS서버를 비롯해서 내부 노드에 접근을 못하네요.
근데 좀 웃긴게 외부 접속한 클라이언트에서 내부노드로의 핑만은 됩니다.
반면 내부노드에서 외부 클라이언트로 핑은 안되고요.
라우팅 문제인거 같은데 어떻게 세팅해야하나요?
포트는 500udp, 1701tcp/udp, 4500udp, esp(50) 등이 열려있고
ip forward 사용함으로 설정하고 masquerade까지는 되어있습니다.
VPN AP에서 각 클라이언트에게 내부 사설망 대역의 아이피를 할당해주도록 하고 있고 당연히 내부 사용중인 아이피영역과 피해서 할당합니다.
direct 옵션으로 firewalld를 건드려보고 있는데 해메네요.
잘못 하고 있는 부분이 있는지... 어떻게 세팅해야 하나요?
경험상 PPTP를 기준으로 했을 때 내부 노드에서 외부 클라이언트에 ICMP를 하는 경우, ARP가 VPN Server를
거쳐 외부의 Client로 전달되지 않는 문제가 존재합니다.
broadcast로 arp 질의가 가면 VPN Server도 자기 IP가 아님으로 응답을 하지 않아, ping이 안됩니다.
따라서 VPN client를 위한 IP 구간이 정해저 있다면,
내부의 각 시스템에 해당 구간에 대한 gw를 VPN AP로 설정해주어야 합니다.
리눅스 route 명령을 예로 들면 내부망 subnet이 10.0.0.0/24 이고,
VPN AP가 10.0.0.2, 외부 접속 Client가 받은 IP가 10.0.0.100 이라고 할 때
route add -host 10.0.0.100 gw 10.10.0.2 이런식입니다.
아무래도 각 point 보다는 내부망 subnet을 prefix 구간으로 나누어 VPN Client IP 대역을 두고
통신이 필요한 서버들에 미리 라우팅 룰을 넣어 놓으시면 될 것으로 생각됩니다.
다만 내부로부터 외부 Client로의 접속은 routing 테이블 조정이 필요하지만
외부 Client에서 내부로의 접속은 routing 테이블을 조정하지 않아도 될 것 같습니다만...
다른 문제도 함께 존재하는 것으로 보입니다.
vpn 클라이언트가 받는 ip가 내부 노드들이 사용하는 서브넷에 속한다면 arp 응답 문제인데
그냥 xl2tpd에서 proxy arp만 설정하면 해결될 것 같습니다.
참고로 아직 해결이 안되었어요... ㅜ