VPN adapteri /32 göstərir: bu, bir hədəf demək deyil

Adapterlər 255.255.255.255 göstərir və nəticə çox vaxt belə olur ki, VPN dəqiq bir ünvana çata bilir. Bu oxunuş müştərinin öz ünvanını tuneldən keçən hədəflər çoxluğu ilə qarışdırır. Nöqtədən-nöqtəyə və ya marşrutlaşdırılan interfeysdə bu ikisi fərqli obyektlərdir və onlardan yalnız biri çatımlılığı məhdudlaşdırır. Mif yaşayır, çünki maska insanların Ethernet-də öyrəndiyi alt şəbəkə maskasına bənzəyir.

Mif: host maskası bir hostun çatımlı olması deməkdir

/32 təyinatı interfeysə linkin bu ucuna aid ünvanı bildirir və nöqtədən-nöqtəyə linkdə bunun mənası təkcə budur. Qarşı tərəfin ünvanı ayrı sahədir, qarşı tərəfin arxasında nə olduğunu deyən marşrutlar isə yenidən ayrıdır. Maskanın içində uzaq şəbəkəni təsvir edən heç nə yoxdur, çünki uzaq şəbəkələr maskanın təsvir etdiyi yer deyil. Bunu çatımlılıq həddi kimi oxumaq öz ev nömrənizi ziyarət edə biləcəyiniz bütün ünvanların siyahısı kimi oxumağa bənzəyir.

Qarışıqlığın real kökü var: Ethernet-də host maskası həqiqətən həmin seqmentdə tək bir ünvan demək olardı. Tunel Ethernet seqmenti deyil və ondan nəyin keçəcəyinə maska deyil, müştərinin marşrut cədvəli qərar verir. Buna görə eyni /32 bütöv bir data mərkəzinin qarşısında dura bilər.

Ünvanı və marşrutları ayrı obyektlər kimi oxuyun

İnterfeysi və cədvəli birlikdə çap edin, sonra onları iki suala iki cavab kimi oxuyun. Ünvan bu ucun kim olduğunu cavablandırır; marşrutlar trafikin hara gedə biləcəyini cavablandırır. Üçüncü sual, yəni şlüzün hansı hədəflərə icazə verdiyi, müştəridə ümumiyyətlə görünmür. Buna görə iproute2 ünvan sənədi yerli, qarşı tərəf və prefiks-marşrut sahələrini ayrı-ayrı təsvir edir.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows-da eyni ayrılıq ünvan siyahısı ilə marşrut cədvəli arasında mövcuddur və axtarış əmri konkret hədəf üçün hansının qalib gəldiyini görməyin ən sürətli yoludur. Əgər axtarış tunel interfeysini qaytarırsa, müştəri paketi oraya göndərəcək. Əgər fiziki adapteri qaytarırsa, müştəri VPN-dən heç vaxt soruşmaz və server tərəfindəki heç bir icazə bunu dəyişməz. Həqiqətən ehtiyac duyduğunuz hədəfi yoxlayın, ümumi bir ictimai ünvanı deyil.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Axtarış səhv interfeysi göstərirsə dayanın. Bu müştəri marşrutu problemidir və müştəridə düzəldilir.

Maskanı genişlətmək niyə adətən işi pisləşdirir

Təyinatı ofis LAN-ına bənzəməsi üçün /24-ə dəyişmək linkdə prefiks yarada bilər: nüvə artıq bütün /24-ün birbaşa tunel interfeysinə bağlandığını düşünür. Şlüzdən keçməli olan ünvanlar üçün trafik sonra sanki qonşu linkdə imiş kimi göndərilir. Nəticə server nasazlığına bənzəyən qara dəlikdir.

O, həm də əsl problemi gizlədir: çatışmayan marşrut və ya şlüzdə çatışmayan icazə. Bunların heç birini daha geniş maska yaratmır və hər ikisi dəyişiklikdən sonra qalır. Əgər dizayn interfeysdə daha böyük prefiks tələb edirsə, bu, istifadə olunan interfeys modeli üçün qərardır və sənədləri əldə tutaraq verilir. Maskanı başqa məhsulun ekran şəkillərindən köçürmək o qərar deyil.

Uzaq prefiks marşrutu yoxdursa, onun təminatını düzəldin. Əgər varsa və bağlantı yenə rədd edilirsə, maska heç vaxt diaqnoz olmayıb.

Marşrut düzgün olduqda və axın yenə uğursuz olduqda

Düzgün marşrut yalnız müştərinin paketi göndərəcəyini sübut edir. Şlüz hələ də hədəfi qəbul etməli, təyin edilmiş ünvan üçün qayıdış yolu mövcud olmalı və xidmət axına icazə verməlidir. Bu üçünü ayrı-ayrılıqda yoxlayın: müştəridə axtarış, şlüzün icazə verdiyi əhatə və tələb olunan bir serverə sorğu. Doğrulamanın bu üçü yerində olmadan əvvəl uğur qazanması normaldır və buna görə qoşulmuş müştəri yenə heç nəyə çata bilməz.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Şəbəkə obyektlərini və qrup icazələrini cihazla idarə olunan xidmətdə sahibləri ilə birlikdə saxlayın. Müştəriyə nəyə çatmağın deyildiyi və nəyə icazə verildiyi fərqli parametrlərdir, çox vaxt fərqli ekranlardadır. Birini dəyişib digərini sınamaq biletin iki komanda arasında necə gəzib-dolaşdığıdır.

Tərk edilməli mif maskanın çatımlılıq həddi olmasıdır. Ünvanı, marşrutları və şlüz siyasətini üç ayrı fakt kimi oxuyun və /32 məhdudiyyət kimi görünməyi dayandırıb normal tunel təyinatı kimi görünməyə başlayır.