Gas-VPN en gasheer-VPN: watter roete wen werklik

Twee kliënte loop gelyktydig, elkeen oortuig dat hy die verstekroete besit, en die simptoom kom as iets vreemds: een gas-toepassing werk, ’n ander los op die verkeerde plek op. ’n VPN binne ’n gas en ’n VPN op die gasheer kan saambestaan, maar net wanneer die buitenste pad en die binneste beleid saamstem oor wie wat dra. Om albei te begin skep nie op sigself ’n ketting nie. Teken eers die aanhegting op en verander dan een ding op ’n slag.

Teken die gas se aanhegting eerste op

Die gas bereik sy VPN-bediener deur watter pad die hipervisor ook al vir hom gegee het: NAT agter die gasheer, ’n brug na die fisiese segment, of ’n netwerk slegs vir die gasheer met roetering bo-op. Elke aanhegting verander wat die gas kan sien en wat die gasheer aan sy verkeer kan doen. Onder NAT lyk dit of die gas se pakkette van die gasheer af kom, so die gasheer se eie tonnel kan hulle dra sonder dat die gas iets daarvan weet. Onder ’n brug het die gas sy eie teenwoordigheid op die segment en sy eie verstekpoort.

Skryf die aanhegting neer voordat jy enige konfigurasie aanraak, saam met watter kliënt veronderstel is om watter toepassing te dra. Daardie sin los die meeste van hierdie gevalle op, want die twee kliënte is gewoonlik op verskillende aannames gebou. ’n Gas wat verwag word om die gasheer se tonnel te gebruik, moet nie ook ’n mededingende verstekroete van sy eie hê nie.

Volg die gas se eindpunt na buite

’n Gas-VPN het ’n bruikbare pad na sy eie bediener nodig voordat enigiets anders kan werk. Wanneer die gasheer se tonnel op is en die gas agter NAT sit, verlaat die gas se handdruk die gasheer se tonnel, wat óf die ontwerp óf ’n ongeluk is wat niemand gedokumenteer het nie. Wanneer die gasheer se tonnel val en die gas daarvan afhanklik was, verloor die gas konnektiwiteit sonder ’n enkele verandering aan sy kant. Om die eindpunt na buite te volg, sê vir jou watter van dié twee jy werklik het.

’n Breë roete in enige van die twee kontekste vang verkeer wat die ander kliënt verwag het. ’n 0.0.0.0/0-roete binne die gas en ’n gasheer-kliënt met volle tonnel maak albei aanspraak op alles, en die een wat laaste geld, wen. Oorvleueling tussen die gas se virtuele netwerke, die plaaslike LAN en afgeleë netwerke het dieselfde effek vir privaat voorvoegsels, met foute wat soos verifikasieprobleme lyk; die adresomsettingsgedrag is dieselfde een wat vir houernetwerking beskryf word.

Vergelyk ’n voor- en na-rekord

Neem ’n basislyn met die gasheer se tonnel af, of in watter beheerde toestand jou beleid ook al toelaat, en teken die gas se roete en resolveerder op. Pas dan die gekombineerde konfigurasie toe en vergelyk die twee rekords, met privaatheidvereistes ongeskonde. As ’n direkte basislyn nie gepas is nie, skryf daardie beperking in die rekord eerder as om die vergelyking oor te slaan.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Die roetevraag noem die koppelvlak en bronadres wat ’n spesifieke bestemming sou dra, en dit is die nuttigste enkele reël in hierdie ondersoek. Die reëllys wys of beleidsroetering sommige bestemmings deur ’n tweede tabel stuur. Die resolveerder-uitset wys of DNS die gas se tonnel gevolg het of op die gasheer se pad gebly het. Voer dieselfde drie opdragte voor en na die verandering uit, en die verskil noem die skuldige.

Hou eienaarskap duidelik oor herstarts heen

’n Gasheer-kliënt se plaaslike-toegang-beperking kan verkeer na ’n virtuele NAT of brug blokkeer, en daardie beperking word gereeld vir ’n aanmeldingsprobleem van die gas aangesien. Lees die kliënt se gedokumenteerde gedrag eerder as om die beperking te deaktiveer om ’n toets te laat slaag. Herhaal die toets van die gas-toepassing en die foutbeleid wat jy vereis nadat ’n ondersteunde regstelling gedoen is. ’n Gasheer wat suksesvol weer aansluit, bewys niks oor die gas se roete of resolveerder nie.

Besluit watter kant die verstekroete besit en skryf dit in die bedryfshandleiding. ’n Herstart van die gas of ’n netwerkwissel op die gasheer wat eienaarskap stilweg omkeer, lewer ’n foutverslag oor ’n VPN wat nooit skuldig was nie. Die reëling moet ’n herlaai oorleef sonder dat iemand onthou waarom dit gewerk het.