Die tonnel se /32 roeteer nie die kantoor-subnet nie

Die VPN verbind, die koppelvlak wys ’n adres met ’n twee-en-dertig bis masker, en die kantoorbediener bly onbereikbaar. Die volgende stap is dikwels om daardie masker in ’n roete te hergebruik, op die teorie dat die koppelvlak beskryf wat die tonnel kan bereik. Dit is nie so nie. Daardie adres beskryf die plaaslike punt van ’n punt-tot-punt skakel, en die bestemming waarvoor jy sorg, lê in ’n ander voorvoegsel aan die ander kant daarvan.

Twee verskillende dinge word verwar: die adres wat die tonnel aan jou gegee het, en die netwerk wat jy daardeur wil bereik.

Twee adresse, twee take

Op ’n punt-tot-punt tonnel is die kliëntadres dikwels ’n enkele gasheeradres, want daar is presies een eweknie aan die ander kant van die skakel. Daar is geen gedeelde segment en geen ARP nie, so ’n masker wat op Ethernet absurd sou lyk, is hier heeltemal normaal.

Die bestemmingsvoorvoegsel is ’n feit oor die kantoor-netwerk, nie oor die tonnel nie. As jy een bediener nodig het, is die roete ’n gasheerroete vir daardie bediener. As jy die hele kantoor-subnet nodig het, is die roete die subnet. Nie een van die antwoorde kan van die koppelvlak afgelees word nie, en om een te kies omdat dit langs die tonneladres verskyn het, is hoe ’n werkende opstelling gebreek word.

Daardie derde ry is waar optimisme ’n onderbreking word. Om ’n hele private reeks in ’n tonnel te stuur wat net een terrein bedien, stoot onverwante verkeer in ’n pad wat dit nie kan aflewer nie, en die gevolglike foute lyk soos ’n gebreekte VPN eerder as ’n te wye roete.

Kies die voorvoegsel uit die vereiste

Skryf die vereiste as ’n sin voordat jy aan ’n profiel raak: watter gashere moet bereikbaar wees, en wat is die nouste voorvoegsel wat hulle dek? ’n Enkele bediener is ’n gasheerroete. ’n Subnet is ’n subnetroete. ’n Reeks subnette is ’n samevatting, en ’n samevatting is ’n belofte dat elke adres daarbinne bereikbaar is, wat selde waar is.

Kontroleer dan die getal teen wat die kantoor werklik gebruik. Om ’n voorvoegsel uit ’n kletsboodskap te kopieer sonder om dit teen die terrein se adresseringsplan te bevestig, is hoe ’n roete op ’n subnet beland wat niemand besit nie.

Onthou ook dat ’n roete ’n pad is, nie ’n toestemming nie. Die poortwag besluit steeds of jou kliënt die bestemming mag gebruik, en ’n diens kan jou steeds weier. Om die roete korrek te installeer, kry die pakkie daar en antwoord niks oor magtiging nie.

Voeg by die profiel, vervang dit nooit nie

Roetes in ’n NetworkManager-profiel is ’n multi-waarde eienskap, en die verskil tussen stel en byvoeg is een karakter. Gebruik die plusvorm om ’n inskrywing by te voeg en alles wat reeds gestoor is, te behou.

nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
  +ipv4.routes "10.40.20.9/32"

Sonder die plus vervang die toewysing die hele lys. Op ’n profiel wat reeds verskeie voorvoegsels dra, verwyder dit stilweg die wat gewerk het, en die simptoom kom later as ’n diens wat voorheen van hierdie skootrekenaar bereikbaar was.

Gebruik die UUID eerder as die naam. Name word na herstel dupliseer, en die verbinding wat jy wysig, is dalk nie die een wat jou verkeer dra nie. Kyk eers vir ’n bestaande identiese inskrywing, want om ’n duplikaat by te voeg is slordig selfs wanneer dit onskadelik is.

Die roete-eienskapverwysing dokumenteer die bestemming, die opsionele volgende sprong, die metriek en die kenmerk-sintaks vir die geïnstalleerde weergawe. Lees dit voordat jy ’n volgende sprong byvoeg, want of een nodig is, hang af van die integrasie en die topologie, en om dit uit die eerste adres in ’n koppelvlaklys te raai, is nie ’n metode nie.

Verstekroete en DNS is aparte besluite

Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.

Outomatiese roetes is die ander ding wat nie sommer versteur moet word nie. Om hulle te onderdruk om een ontbrekende inskrywing op te los, kan verskeie werkendes verwyder, en die persoon wat dit voorgestel het, het gewoonlik na ’n ander profiel met ander stuwings gekyk.

DNS het sy eie pad en sy eie foute. ’n Naam wat na die regte adres oor die verkeerde oplosser opgelos word, of ’n oplosser wat nie vir die private sone kan antwoord nie, sal soos ’n roeteprobleem lyk terwyl die roete perfek is. Toets die adres en die naam afsonderlik en besluit dan watter laag werklik gefaal het.

Verifieer wat toegepas is

’n Gestoor wysiging is nie ’n toegepaste een nie. Herverbind deur die bestuurder se ondersteunde lewensiklus en kyk dan na die werklike roete vir die beoogde bestemming en na die beleidsreëls wat besluit watter tabel geraadpleeg word.

As die voorvoegsel daar is en die verbinding steeds faal, het jy na ’n ander probleem beweeg: bronadreskeuse, ’n terugroete aan die ander kant, of ’n diens wat jou kliënt weier. Elkeen daarvan is ’n beter plek om te kyk as die profiel wat jy reeds reggestel het.