Niyə tam tunel VPN yönləndirilmiş yerli VLAN-ları gizlədir

VPN müştərisindəki «allow local network» açarı binadakı hər şeyi əhatə edirmiş kimi səslənir. Təcrübədə o, adətən tunelin standart marşrutuna bir neçə özəl ünvan istisnası əlavə edir və dayanır. Saxlama VLAN-ınız yalnız o halda əlçatan qalır ki, həmin konkret prefiks üçün marşrut tunelin gəlişindən sağ çıxsın, və bir çox müştəridə bu baş vermir.

Bu, VPN parametri deyil, marşrutlaşdırma məsələsidir və bu yaxşı xəbərdir: onun konkret cavabı var.

«Allow-local-network» əslində nəyi əhatə edir

Müştərilər bu parametri fərqli şəkildə həyata keçirir. Bəziləri maşının qoşulduğu alt şəbəkə üçün marşrutlar əlavə edir, bəziləri RFC 1918 diapazonlarını əlavə edir, bir neçəsi isə yalnız standart şlüzü istisna edir. Onların heç biri ofis marşrutlaşdırıcınızın həm də saxlama VLAN-ına, laboratoriya seqmentinə və ya printer alt şəbəkəsinə xidmət etdiyini bilmir, çünki bu prefikslər müştərinin gördüyü xəttdə deyil. Dəqiq davranış üçün müştərinin öz sənədlərini oxuyun, etiketin topologiyanızı təsvir etdiyini güman etməyin.

Fərq ən çox tam tunel dizaynında əhəmiyyət kəsb edir, burada müştəri bütün trafikin VPN-dən keçməsi üçün standart marşrutu qəsdən əvəz edir. Bu, dizaynın bütün məqsədidir və eyni zamanda yerli yönləndirilmiş şəbəkələri yox edən şeydir. Onlar heç vaxt öz marşrutları ilə əhatə olunmayıb; yalnız indicə əvəz edilmiş standart marşrutun üzərində gedirdilər. Müştəri mövcudluğunu bilmədiyi şeyi yönləndirə bilməz və o, yalnız öz interfeysinə bağlı prefiksləri öyrənir. Qalan hər şeyi topologiyanı bilən kimsə təsvir etməlidir.

Qoşulmuş marşrutlar ilk marşrutlaşdırıcıda dayanır

192.168.10.20/24 ünvanında, şlüzü 192.168.10.1 olan iş stansiyası 192.168.10.0/24 üçün avtomatik olaraq qoşulmuş marşrut alır. 192.168.20.0/24 ünvanındakı saxlama VLAN-ı fərqli prefiksdir, ona yalnız həmin şlüz vasitəsilə çatmaq olar və iş stansiyasının onun üçün standartdan başqa marşrutu yoxdur. Tunel qalxmadan əvvəl adi standart marşrut saxlama trafikini təsadüfən 192.168.10.1-ə göndərir və hər şey işləyir.

VPN tam tunel standart marşrutunu quraşdırdıqda, 192.168.20.1 üçün paketlər yeni standartla tunelin içinə gedir. Uzaq şlüzün həmin prefiksin harada olduğuna dair heç bir təsəvvürü yoxdur, ona görə paketləri atır və ya faydasız bir yerə yönəldir. Saxlama VLAN-ında heç nə səhv konfiqurasiya edilməmişdi; onun yolu borc alınmışdı və borc geri tələb olundu.

Yemə qapılmaq asandır: /1 marşrut cütü və ya ikinci standart marşrut kimi geniş istisnaya əl atmaq. Buna müqavimət göstərin. İstisna nə qədər dar olsa, şəbəkə dəyişdikdə onu izah etmək, yoxlamaq və silmək bir o qədər asandır.

İstisnanı qalib gələn cədvələ qoyun

Bir marşrutlaşdırma cədvəli daxilində /24, ən uzun prefiks uyğunluğuna görə /0 və ya /1-i üstələyir, ona görə yerli şlüz vasitəsilə saxlama VLAN-ına konkret marşrut kifayətdir, bir şərtlə ki, cədvələ ümumiyyətlə müraciət olunsun. Linux-da adi forma qısadır:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Siyasət əsaslı marşrutlaşdırma bu zəmanəti çətinləşdirir. Daha əvvəlki qayda trafiki standart marşrutu tunelin içinə baxan cədvələ göndərə bilər və sizin /24-ünüzü saxlayan əsas cədvələ heç vaxt çatılmır. Marşrutun səlahiyyətli olduğunu güman etməzdən əvvəl qaydaları yoxlayın, çünki səhv cədvəldə düzgün görünən qeyd qırıq marşrut kimi görünən nasazlığı izah edir.

Sonra qeydi müştərinin dəstəklədiyi mexanizm və ya interfeysə sahib şəbəkə meneceri vasitəsilə davamlı edin. Komanda sətrində yazılan marşrut növbəti yenidən qoşulmada yox olur və bir Wi-Fi şlüzünə bağlanmış marşrut noutbukun ziyarət etdiyi növbəti şəbəkəyə köçürülə bilməz.

Adlar və siyasət marşrutları izləmir

Marşrutun düzəldilməsi paketləri bərpa edir, adları yox. Əgər yerli cihazlar onlar haqqında heç nə bilməyən təzyiqli bir həlledici vasitəsilə həll olunursa, ünvan əlçatan olsa da montaj yenə də uğursuz olur. Yerli adlar üçün yerli və ya parçalanmış DNS tənzimləməsi lazımdır və bu, marşrut istisnasından ayrı bir qərardır.

Siyasət yenidən ayrıdır. VPN müştərisinin yerli giriş filtri özəl diapazonlara trafiki qəsdən qadağan edə bilər və marşrut bu qaydanı üstələmir. Etibarsız şəbəkədə özəl ünvan həm də təyinatın sizin saxlama serveriniz olduğuna sübut deyil, ona görə istisna marşrutun özü qədər konkret olmalıdır.

Təhvil verə biləcəyiniz bir müqavilə

Bitmiş dizayn qısa bir siyahı kimi oxunmalıdır: ümumi internet trafiki tuneli izləyir və bu adlandırılmış yerli prefikslər öz yolunu yerli marşrutlaşdırıcı vasitəsilə saxlayır. Prefiksləri, növbəti hopu və onlarla gedən DNS şəbəkəsini yazın və siyahını kimsə marşrutlaşdırma cədvəlini oxumadan yoxlaya biləcəyi qədər qısa saxlayın.

Yerli və uzaq diapazonlar arasında üst-üstə düşməyə diqqət edin. VPN-in arxasındakı bir şeylə prefiksi paylaşan saxlama VLAN-ı daha konkret olan marşruta çevriləcək və nəticədə yaranan davranış aralıqlı görünən şəkildə çaşdırıcıdır. Bir tərəfin nömrələnməsini dəyişmək qeyri-müəyyənliyi əbədi olaraq sazlamaqdan adətən daha ucuzdur.

Müqaviləni iki dəfə sınaqdan keçirin: bir dəfə tunel qalxmış, bir dəfə də söndürülmüş halda. Yerli yol yalnız bu hallardan birində işləyirsə, istisna hələ müqavilə deyil.