VPN-adapter wys /32: dit beteken nie een bestemming nie

Adapters wys 255.255.255.255, en die gevolgtrekking is dikwels dat die VPN presies een adres kan bereik. Daardie lesing verwar die kliënt se eie adres met die stel bestemmings wat deur die tonnel gerouteer word. Op ’n punt-tot-punt- of gerouteerde koppelvlak is die twee verskillende objekte, en net een van hulle beperk bereikbaarheid. Die mite bly leef omdat die masker lyk soos die subnetmasker wat mense op Ethernet geleer het.

Die mite: ’n gasheermasker beteken een bereikbare gasheer

’n /32-toewysing vertel die koppelvlak watter adres aan hierdie kant van die skakel behoort, en op ’n punt-tot-punt-skakel is dit al wat dit beteken. Die eweknie-adres is ’n aparte veld, en die roetes wat sê wat anderkant die eweknie lê, is weer apart. Niks in die masker beskryf die afgeleë netwerk nie, want die masker is nie waar afgeleë netwerke beskryf word nie. Om dit as ’n bereikbaarheidsbeperking te lees, is soos om jou eie huisnommer te lees as ’n lys van elke adres wat jy mag besoek.

Die verwarring het ’n werklike oorsprong: op Ethernet sou ’n gasheermasker regtig ’n enkele adres op daardie segment beteken. ’n Tonnel is nie ’n Ethernet-segment nie, en die kliënt se roetetabel, nie die masker nie, besluit wat daardeur gaan. Dit is waarom dieselfde /32 voor ’n hele datasentrum kan staan.

Lees die adres en die roetes as aparte objekte

Druk die koppelvlak en die tabel saam uit, en lees hulle dan as twee antwoorde op twee vrae. Die adres antwoord wie hierdie kant is; die roetes antwoord waar verkeer mag gaan. ’n Derde vraag, watter bestemmings die gateway toelaat, is glad nie op die kliënt sigbaar nie. Die iproute2-adresverwysing beskryf die plaaslike, eweknie- en voorvoegselroete-velde juis daarom afsonderlik.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Op Windows bestaan dieselfde skeiding tussen die adreslys en die roetetabel, en die opsoekopdrag is die vinnigste manier om te sien watter een vir ’n spesifieke bestemming wen. As die opsoek die tonnelkoppelvlak teruggee, sal die kliënt die pakket daarheen stuur. As dit die fisiese adapter teruggee, vra die kliënt nooit die VPN nie, en geen mate van bedienerkant-toestemming sal dit verander nie. Kontroleer die bestemming wat jy werklik nodig het, nie ’n generiese openbare adres nie.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Stop as die opsoek na die verkeerde koppelvlak wys. Dit is ’n kliëntroeteprobleem, en dit word op die kliënt reggemaak.

Waarom ’n wyer masker dit gewoonlik slegter maak

Om die toewysing na ’n /24 te verander sodat dit soos die kantoor-LAN lyk, kan ’n op-skakel-voorvoegsel skep: die kern glo nou dat die hele /24 direk aan die tonnelkoppelvlak gekoppel is. Verkeer vir adresse wat deur die gateway gerouteer moet word, word dan gestuur asof ’n buur op die skakel is. Die resultaat is ’n swart gat wat soos ’n bedieneronderbreking lyk.

Dit verberg ook die werklike probleem, naamlik ’n ontbrekende roete of ’n ontbrekende toestemming op die gateway. Nie een van dié word deur ’n wyer masker geskep nie, en albei oorleef die verandering. As die ontwerp ’n groter voorvoegsel op die koppelvlak nodig het, is dit ’n besluit vir die koppelvlakmodel wat gebruik word, geneem met die dokumentasie in die hand. Om ’n masker uit ’n ander produk se skermskote te kopieer, is nie daardie besluit nie.

As die afgeleë-voorvoegselroete ontbreek, maak die voorsiening daarvan reg. As dit teenwoordig is en die verbinding steeds verwerp word, was die masker nooit die diagnose nie.

Wanneer die roete reg is en die vloei steeds misluk

’n Korrekte roete bewys net dat die kliënt die pakket sal stuur. Die gateway moet steeds die bestemming aanvaar, die terugpad moet vir die toegewysde adres bestaan, en die diens moet die vloei toelaat. Toets dié drie afsonderlik: die opsoek op die kliënt, die gateway se toegelate omvang, en ’n versoek aan een vereiste bediener. Dat verifikasie slaag voordat al drie in plek is, is normaal, en dit is waarom ’n gekoppelde kliënt steeds niks kan bereik nie.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Hou netwerkobjekte en groeptoestemmings by hulle eienaar op ’n diens wat deur ’n toestel bestuur word. Waarvoor die kliënt gesê word om te bereik en waarvoor hy mag gebruik, is verskillende instellings, dikwels op verskillende skerms. Om een te verander en die ander te toets, is hoe ’n kaartjie tussen twee spanne heen en weer bons.

Die mite wat afgeskaf moet word, is dat die masker ’n bereikbaarheidsbeperking is. Lees die adres, die roetes en die gateway-beleid as drie aparte feite, en ’n /32 hou op om soos ’n beperking te lyk en begin soos ’n normale tonneltoewysing lyk.