Гэты адрас L2TP — гэта IPCP, а не арэнда DHCP у лакальнай сетцы

Унутраны адрас прыходзіць з перамоваў PPP, а не ад DHCP-сервера офіса. Паглядзіце, які этап яго прызначае, чаму лакальная сетка не можа адказаць і што правяраць.

Злучэнне ўсталёўваецца, і адаптар паказвае адрас з дыяпазону офіса, таму натуральная выснова: VPN даў вам адрас лакальнай сеткі і такім чынам змясціў вас у лакальную сетку. Ні адна з дзвюх палоў гэтага не зусім правільная. L2TP пераносіць сесію PPP, і PPP узгадняе ўнутраны адрас IPv4 праз IPCP. Гэты адрас — параметр сесіі, узгоднены паміж двума бакамі, а не арэнда, выдадзеная DHCP-серверам офіса, і валоданне ім не робіць вас суседам у кабелі офіса.

Два адрасы ў адным злучэнні

У злучэнні L2TP ёсць дзве незалежныя перамовы. Знешняя ўсталёўвае абаронены шлях паміж вашай прыладай і канчатковым пунктам VPN праз любую сетку, якая ў вас ужо ёсць. Унутраная — гэта сесія PPP, і менавіта там узгадняюцца ваш адрас сесіі і адрас суразмоўцы. Інтэрнэт-трафік можа выходзіць зусім пад трэцім адрасам — публічным адрасам канчатковага пункта, таму старонка праверкі VPN і адрас адаптара рэдка супадаюць.

Раздзяленне гэтых трох роляў адказвае на большасць пытанняў, якія людзі прыносяць на гэты ўзровень. Прыватны нумар на інтэрфейсе VPN — гэта нармальна і чакана. Ён нічога не кажа пра тое, ці змяніў канчатковы пункт ваш публічны выхад, і сам па сабе не вызначае, якіх пунктаў прызначэння дасягае ваш трафік.

Што менавіта робіць IPCP

IPCP — гэта пратакол кіравання IPv4 для PPP. Кожны бок дасылае паведамленні Configure-Request, якія апісваюць патрэбныя яму опцыі, і опцыя адраса — адна з іх. Кліент, які яшчэ не мае адраса, звычайна запытвае з 0.0.0.0, і сервер адказвае Configure-Nak з адрасам, які ён хоча бачыць у кліента. Затым кліент запытвае гэты адрас, і сесія ўсталёўваецца з лакальным і аддаленым адрасам.

Гэты абмен апісаны ў спецыфікацыях PPP і IPCP, і ён тлумачыць дэталь, якая выглядае як памылка: адрас выбірае сервер па сваёй палітыцы, якая можа быць пулам, наладай для кожнага карыстальніка або адрасам, прывязаным да аўтэнтыфікаванай асобы. Калі пул вычарпаны або палітыка супярэчыць запыту, аўтэнтыфікацыя можа прайсці, а перамовы адраса — праваліцца, і кліент паведамляе пра злучэнне, якое так і не стабілізуецца.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Радок журнала pppd з лакальным і аддаленым адрасам — гэта паспяховы канец гэтых перамоваў. Яго адсутнасць побач з паспяховай аўтэнтыфікацыяй паказвае на этап адраса, а не на ўліковыя даныя.

Чаму лакальная сетка не можа вам адказаць

Адрас з дыяпазону далёкага боку стварае чаканне, што хасты ў гэтай лакальнай сетцы могуць да вас дабрацца, але пераважна не могуць, калі сервер не накіроўвае ваш адрас сесіі назад у тунель. Знаходжанне ў пуле — гэта сцвярджэнне пра размеркаванне, а не пра тапалогію. У файлавага сервера офіса няма маршруту да вашага адраса сесіі, калі VPN-сервер яго не перасылае, а нават калі перасылае, гэта можа быць забаронена.

Вось чаму перасякальныя дыяпазоны выклікаюць праблемы, несуразмерныя з іх бачным памерам. Калі пул перасякаецца з лакальнай сеткай, якую кліент ужо выкарыстоўвае, у табліцы маршрутызацыі кліента з’яўляюцца два прэтэндаванні на адзін прэфікс, і няправільнае часта перамагае з прычын, якія не маюць нічога агульнага з тунелем.

Спачатку праверце сесію, потым маршрут

Спачатку праверце інтэрфейс, затым маршруты, затым адзін пункт прызначэння, які мае значэнне. Кожны крок мае свой рэжым адмовы, і праверка ўсіх трох адначасова дае выснову, якую вы потым не зможаце абараніць.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Калі публічная праверка паказвае адрас канчатковага пункта, а прыватны пункт прызначэння не адказвае, тунель нясе ваш маршрут па змаўчанні, і далёкі бок не адказвае на гэты пункт. Калі прыватны пункт адказвае, але публічная праверка не змяняецца, профіль працуе ў рэжыме падзеленага тунеля, і сесію выкарыстоўвае толькі частка трафіку.

Трымайце тры этапы асобна

Аўтэнтыфікацыя, перамовы адраса і перасылка адмаўляюць па-рознаму, і ў кожнага свой уласнік. Уліковыя даныя — гэта праблема ідэнтычнасці, вычарпанне IPCP — праблема палітыкі сервера, а адсутны зваротны маршрут — праблема дызайну сеткі. Паведамляць пра ўсе тры як пра “VPN зламаны” — гэта гарантаваць павольнае выпраўленне.

Запішыце прызначаны адрас, пул, з якога ён прыйшоў, і ці павінна лакальная сетка да яго дабрацца. Гэтая адна нататка не дасць наступнаму чалавеку выказаць здагадку пра арэнду DHCP і шукаць дыяпазон, які ніколі не ўдзельнічаў.

Падобныя артыкулы