لماذا يخفي VPN ذو النفق الكامل شبكات VLAN المحلية الموجَّهة

يبدو مفتاح «السماح بالشبكة المحلية» في عميل VPN وكأنه يغطي كل شيء في المبنى. عمليًا، يضيف عادةً بضعة استثناءات لعناوين خاصة إلى المسار الافتراضي للنفق ويتوقف عند ذلك. تبقى شبكة VLAN الخاصة بالتخزين قابلة للوصول فقط إذا نجا مسار لذلك البادئة المحددة من وصول النفق، وفي كثير من العملاء لا يحدث ذلك.

هذا سؤال يتعلق بالتوجيه وليس بإعداد في VPN، وهذه أخبار جيدة: له إجابة محددة.

ما الذي يغطيه خيار allow-local-network فعليًا

ينفّذ العملاء ذلك الخيار بطرق مختلفة. يضيف بعضهم مسارات للشبكة الفرعية التي تتصل بها الآلة، ويضيف بعضهم نطاقات RFC 1918، بينما يستثني قليل منهم البوابة الافتراضية فقط. لا يعرف أي منهم أن راوتر مكتبك يخدم أيضًا شبكة VLAN للتخزين أو مقطعًا للمختبر أو شبكة فرعية للطابعات، لأن تلك البادئات ليست على الوصلة التي يراها العميل. اقرأ وثائق العميل نفسه للسلوك الدقيق بدلًا من افتراض أن التسمية تصف طبولوجيا شبكتك.

يظهر الفرق بأقصى وضوح في تصميم النفق الكامل، حيث يستبدل العميل المسار الافتراضي عمدًا كي تمر كل حركة المرور عبر VPN. هذا هو جوهر التصميم، وهو أيضًا ما يجعل الشبكات المحلية الموجَّهة تختفي. لم يغطِّها يومًا مسار خاص بها؛ كانت تستمد طريقها من المسار الافتراضي الذي استُبدل للتو. لا يمكن للعميل أن يوجّه ما لا يعلم بوجوده، وهو لا يتعلم إلا البادئات المرتبطة بواجهته. وكل ما عدا ذلك يجب أن يصفه شخص يعرف الطبولوجيا.

المسارات المتصلة تتوقف عند أول راوتر

تحصل محطة عمل عند 192.168.10.20/24 ببوابة 192.168.10.1 تلقائيًا على مسار متصل للشبكة 192.168.10.0/24. شبكة التخزين 192.168.20.0/24 بادئة مختلفة، ولا يمكن الوصول إليها إلا عبر تلك البوابة، وليس لدى المحطة مسار لها يتجاوز المسار الافتراضي. قبل أن يصعد النفق، يرسل المسار الافتراضي العادي حركة التخزين إلى 192.168.10.1 ويعمل كل شيء.

عندما يثبّت VPN مسارًا افتراضيًا للنفق الكامل، تتبع حزم 192.168.20.1 المسار الافتراضي الجديد إلى داخل النفق. لا تملك البوابة البعيدة أي فكرة عن مكان تلك البادئة، فتُسقط الحزم أو تمررها إلى مكان عديم الفائدة. لم يكن هناك أي خطأ في إعداد شبكة التخزين؛ كان مسارها مستعارًا، وقد طُلب سداد القرض.

الإغراء هو اللجوء إلى استثناء واسع مثل زوج مسارات ‎/1‎ أو مسار افتراضي ثان. قاومه. فكلما كان الاستثناء أضيق، كان شرحه وتدقيقه وإزالته أسهل عندما تتغير الشبكة.

ضع الاستثناء في الجدول الذي يفوز

داخل جدول توجيه واحد، يتغلب ‎/24‎ على ‎/0‎ أو ‎/1‎ بمبدأ أطول بادئة متطابقة، لذا يكفي مسار محدد إلى شبكة التخزين عبر البوابة المحلية، بشرط أن يُستشار الجدول أصلًا. في لينكس تكون الصيغة العادية قصيرة:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

التوجيه بالسياسة يعقّد هذا الضمان. يمكن لقاعدة أبكر أن ترسل الحركة إلى جدول يشير مساره الافتراضي إلى داخل النفق، وعندئذ لا يُبلَغ أبدًا الجدول الرئيسي الذي يحتوي ‎/24‎ الخاص بك. افحص القواعد قبل افتراض أن المسار هو المرجع، لأن مدخلًا يبدو صحيحًا في الجدول الخطأ يفسّر فشلًا يبدو كمسار معطوب.

ثم اجعل المدخل دائمًا عبر آلية يدعمها العميل أو مدير الشبكة الذي يملك الواجهة. المسار المكتوب في الموجّه يختفي عند إعادة الاتصال التالية، والمسار المرتبط ببوابة Wi-Fi واحدة ليس قابلًا للنقل إلى الشبكة التالية التي يزورها الحاسوب المحمول.

الأسماء والسياسات لا تتبع المسارات

إصلاح المسار يعيد الحزم، لا الأسماء. إذا حُلّت الأجهزة المحلية عبر مُحلِّل مدفوع لا يعرف عنها شيئًا، يظل التحميل يفشل حتى مع إمكانية الوصول إلى العنوان. تحتاج الأسماء المحلية إلى ترتيب محلي أو DNS منفصل، وهذا قرار منفصل عن استثناء المسار.

السياسة منفصلة مرة أخرى. يمكن لمرشّح الوصول المحلي في عميل VPN أن يمنع عمدًا الحركة إلى النطاقات الخاصة، والمسار لا يتجاوز تلك القاعدة. على شبكة غير موثوقة، العنوان الخاص ليس دليلًا على أن الوجهة هي خادم التخزين الخاص بك، لذا ينبغي أن يكون الاستثناء محددًا بقدر المسار نفسه.

عقد يمكنك تسليمه

ينبغي أن يُقرأ التصميم النهائي كقائمة قصيرة: حركة الإنترنت العامة تتبع النفق، وهذه البادئات المحلية المسمّاة تحتفظ بمسارها عبر الراوتر المحلي. دوّن البادئات والخطوة التالية ولاحقة DNS المرافقة لها، وأبقِ القائمة قصيرة بما يكفي كي يستطيع شخص التحقق منها دون قراءة جدول توجيه.

احترس من التداخل بين النطاقات المحلية والبعيدة. شبكة تخزين VLAN تشترك في بادئة مع شيء خلف VPN ستُحلّ إلى المسار الأكثر تحديدًا، والسلوك الناتج مربك بطريقة تبدو متقطعة. غالبًا ما تكون إعادة ترقيم أحد الجانبين أرخص من تنقيح الغموض إلى الأبد.

اختبر العقد مرتين: مرة والنفق قائم ومرة وهو متوقف. إذا كان المسار المحلي يعمل في إحدى الحالتين فقط، فالاستثناء ليس عقدًا بعد.