Принудительное назначение клиентов Teleport в конкретный VLAN/субсеть

Принудительное назначение клиентов Teleport в конкретный VLAN/субсеть, wifiman

jrossstocholm

Guest

11.10.2023 09:19:00

Я настроил свою сеть, используя диапазон IP 10.*, для всех устройств. Например, у моего UDM SE адрес 10.10.0.1. У меня есть несколько других сетей с разными задачами, например, отдельная сеть/подсеть для IoT-устройств.

Недавно я начал использовать Teleport в качестве VPN-решения для наших iOS-устройств. И хотя всё работает отлично, меня немного раздражает одна вещь: когда клиент подключается, ему автоматически назначается IP из, как мне кажется, случайно выбранного диапазона.

Я создал сеть/подсеть специально для VPN и хотел бы, чтобы клиент Teleport присоединялся именно к этой подсети.

Можно ли это как-то настроить?

Спасибо 😊
Jesper

KarmaPolice

Guest

13.07.2024 04:27:00

Одно, что я заметил после всего этого — в списке клиентов в интерфейсе Unifi я не вижу подключённых клиентов через Teleport... Не уверен, связано ли это с глюком интерфейса или чем-то другим, что возможно можно исправить. Для меня это не критично, так что я этим не заморачиваюсь.

KarmaPolice

Guest

13.07.2024 04:21:00

Фух... в общем, у меня получилось запустить... Во-первых, ошибки, которые я видел при тестировании (о которых я писал выше), оказались вовсе не связаны с Teleport, а были вызваны багом в UXG Lite, из-за которого забивался tmpfs. Исправил это, применив обновления EA, так что без них у вас может быть иначе.

После всех этих обновлений я снова проделал описанную процедуру:
ssh root@<uckg2+IPaddr>
mongo --port 27117
use acedb
setting.update({key: "teleport"}, {$set: {subnet_cidr: "<mynet>/16"}})

Перезагрузил и UCKG2+, и UXG Lite... подключился к Teleport с телефона (не по Wi-Fi)... но всё равно получал IP-адрес из диапазона 192.168.2.x.

Заглянув в лог /var/log/daemon.log на UXG Lite, я обнаружил вот что. Тогда я вернулся в настройки VPN Teleport на UCKG2+ и просто выключил, а потом снова включил функцию, надеясь, что это сбросит настройки, чего перезагрузка не сделала... и вуаля! Снова со своего телефона подключился к Teleport и получил IP из нужной подсети, с доступом ко всему моему сетевому оборудованию.

Неплохо, если это все, что нужно сделать... Интерфейсу управления реально стоит просто добавить эту опцию в настройки Teleport, надеюсь, когда-нибудь так и будет.

В итоге, кажется, что перезагружать все устройства не обязательно, достаточно просто выключить и включить сервис Teleport через UI Unifi — наверное, этого достаточно после выполнения вышеуказанных команд.

Буду следить, как это будет работать после обновлений. На сегодня всё, удачного хакерства, народ!

ti7lagos Guest	#4 26.06.2024 12:23:00 podman exec -it unifi-os mongo --port 27117 use ace db.setting.update({key: "teleport"}, { $set: { subnet_cidr: "192.168.22.1/24" } }) Кто-нибудь проверял этот код через SSH, чтобы изменить автоматически сгенерированный IP для устройств, подключенных через Teleport VPN?

mcglynnj

Guest

21.02.2024 14:07:00

Я тоже использую 10.1.0.0/16 для своей основной сети, но заставлять клиентов Teleport использовать другой подсетевой диапазон действительно мешает, если в файерволах настроены правила по подсетям. Если бы функция Teleport использовала тот же основной диапазон IP-адресов, это бы сильно упростило многие проблемы с неверной идентификацией позже.

aruffell

Guest

16.01.2024 18:49:00

Моя сеть раньше была на 192.168.0.0/16, а теперь на 10.1.0.0/16. При подключении через Teleport к UDMP клиенту назначается IP 192.168.2.1. Я заметил это, пытаясь понять, почему не могу просканировать сеть (не найден ни один из моих 150+ устройств), так что, вне зависимости от того, связано ли это с причиной, я бы предпочёл, чтобы IP был в тех подсетях, которые я ожидаю, чтобы применяемые правила на него распространялись. Есть ли способ настроить это в прошивке 3.2.9? Также я сейчас в 8000 милях от сети, поэтому предпочтительнее было бы решение с минимальным риском. Если я создам новое приглашение для клиента, будет ли теперь выбран IP из новой подсети, на которую я недавно перешёл?

KarmaPolice Guest	#7 12.07.2024 03:05:00 К слову... Я только что попробовал это на своей связке UCKG2+ и UXG Lite: ssh root@<uckg2+IPaddr> mongo --port 27117 use acedb setting.update({key: "teleport"}, { $set: { subnet_cidr: "<mynet>/16" } }) Перезагрузил UCKG2+ и UXG Lite. Подключился через телепорт с телефона, и вроде как "соединение" установилось. Но что-то пошло серьезно не так — ничего не работало, и похоже, что на самом деле подключения не было. В итоге откатился обратно, и телепорт снова заработал с телефона. Завтра попробую ещё раз, уделю больше времени отладке, сегодня времени мало было. Кстати, если кто-то знает, какие логи лучше посмотреть на ошибки — дайте знать.

Читают тему (гостей: 1)