Вярнуць маршрут да VPN для хастоў LAN праз DHCP-опцыю 121

Аддаленыя VPN-кліенты падключаюцца, LAN-сервер адказвае, і адказ сыходзіць праз звычайны інтэрнэт-маршрутызатар і гіне там. Адзін сервер можна выправіць статычным маршрутам, але цэлую падсетку з іх лепш апрацоўваць там, дзе яны ўжо атрымліваюць сваю сеткавую канфігурацыю. Опцыя 121 у DHCPv4 раздае менавіта такі маршрут да прызначэння, і гэта тая частка, якую людзі звычайна робяць няправільна, як толькі забываюць пра маршрут па змаўчанні. Сімптом — аднабаковы трафік: запыты прыходзяць, а адказы знікаюць.

Спачатку назвіце тры адрасы

Вазьміце канкрэтную LAN: 192.168.50.0/24 са звычайным маршрутызатарам па змаўчанні на 192.168.50.1 і асобным VPN-шлюзам на 192.168.50.2. Аўтэнтыфікаваныя аддаленыя кліенты займаюць 10.90.0.0/24.

Маршрут, патрэбны кожнаму хасту-ўдзельніку, — гэта 10.90.0.0/24 via 192.168.50.2. Прызначэнне — пул кліентаў, а наступны крок — LAN-адрас шлюза, а не яго адрас у тунелі.

Закодуйце яго як бяскласавы статычны маршрут

Опцыя 121 пераносіць пары прэфікса і наступнага кроку, а RFC 3442 вызначае і кадаванне, і паводзіны кліента, што з яго вынікаюць. Для існуючага асобніка dnsmasq, які абслугоўвае толькі гэтую ілюстрацыйную LAN, форма канфігурацыі такая:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Гэта фрагмент, а не новая служба DHCP. На серверы, які абслугоўвае некалькі сегментаў, абмяжуйце опцыю тэгамі або сеткавай палітыкай, якія вы ўжо выкарыстоўваеце. Трымайце папярэднюю канфігурацыю пад рукой, бо адкат азначае чарговае аднаўленне арэнды, а не перазагрузку.

Не страціце маршрут па змаўчанні

Гэта пастка. Кліент, які атрымаў опцыю 121, павінен ігнараваць звычайную опцыю Router, таму абвяшчэнне толькі маршруту пула VPN можа пакінуць гэты хост зусім без маршруту па змаўчанні. Машына ўсё яшчэ выглядае наладжанай і ціха губляе інтэрнэт. Карыстальнікі апісваюць гэта як «сетка не працуе», хаця ўсе інтэрфейсы ўзнятыя.

Уключыце патрэбны маршрут па змаўчанні ў той жа спіс, як робіць фрагмент вышэй. Пакіньце таксама звычайную опцыю Router для кліентаў, якія не рэалізуюць бяскласавыя маршруты; уласная апрацоўка опцый серверам вырашае, што і каму адпраўляецца.

Праверце, што прыме кліент

Хост з ручным адрасам ніколі гэтага не падхопіць, бо ён не просіць арэнды. Падтрымка ў кліентах таксама розніцца, таму тэстуйце на той аперацыйнай сістэме, якая ў вас насамрэч працуе, а не меркавайце, што кожная прылада ўлічвае опцыю 121. Удакладніце ў тых, хто валодае гэтымі серверамі, якія з іх маюць статычныя адрасы. Такім хастам патрэбныя ўласныя запісы маршрутаў, інакш яны проста не будуць удзельнічаць.

Кіраваныя службы DHCP — яшчэ адна мяжа. Некаторыя воблачныя сеткі не дазваляюць адміністратарам публікаваць адвольныя опцыі, а канкуруючы DHCP-сервер у тым жа сегменце горш за адсутнасць опцыі наогул.

Праверце арэнду, потым пошук

Папрасіце ўладальніка DHCP унесці змену, затым абнавіце арэнду на кліенце. Існуючыя арэнды захоўваюць старую канфігурацыю, пакуль не абновяцца, таму імгненны вынік не гарантаваны.

На кліенце Linux прачытайце фактычныя маршруты і пацвердзіце абодва запісы:

ip -4 route
ip -4 route get 10.90.0.23

Кантэкстны пошук павінен паказаць маршрут пула праз 192.168.50.2 і маршрут па змаўчанні праз 192.168.50.1. Калі маршруту па змаўчанні няма, вы ўзнавілі пастку вышэй.

Затым праверце сапраўдны абмен

Раздача маршрутаў — не ўвесь шлях. Асобнаму шлюзу ўсё яшчэ патрэбныя перасылка, валоданне аддаленымі партнёрамі і палітыка доступу, якая дазваляе сервер, а DHCP нікога не аўтэнтыфікуе.

Нарэшце, трымайце план выдалення. Вывучаны статычны маршрут не знікае сам, калі VPN падае, таму састарэлы наступны крок можа зрабіць гэты прэфікс чорнай дзіркай яшчэ доўга пасля знікнення тунеля.