Капіяванне /32 тунеля не пракладае маршрут да офіснай падсеткі
Адрас, які VPN выдае вашаму адаптару, апісвае злучэнне, а не пункт прызначэння. Дадайце прэфікс рэсурсу ў профіль і не чапайце маршрут па змаўчанні.
VPN падключаецца, інтэрфейс паказвае адрас з маскай у трыццаць два біты, а офісны сервер застаецца недасяжным. Наступны крок часта — паўторна выкарыстаць гэтую маску ў маршруце, быццам інтэрфейс апісвае тое, да чаго тунель можа дабрацца. Не апісвае. Гэты адрас апісвае лакальны канец злучэння пункт-пункт, а пункт прызначэння, які вас цікавіць, знаходзіцца ў іншым прэфіксе на яго другім баку.
Змешваюцца дзве розныя рэчы: адрас, які тунель вам выдаў, і сетка, да якой вы хочаце дабрацца праз яго.
Два адрасы, дзве задачы
У тунелі пункт-пункт адрас кліента часта бывае адзіным адрасам хоста, бо на другім канцы злучэння ёсць роўна адзін партнёр. Няма агульнага сегмента і няма ARP, таму маска, якая на Ethernet выглядала б абсурдна, тут цалкам звычайная.
Прэфікс пункта прызначэння — гэта факт пра офісную сетку, а не пра тунель. Калі вам патрэбен адзін сервер, маршрут — гэта маршрут хоста для гэтага сервера. Калі вам патрэбна ўся офісная падсетка, маршрут — гэта падсетка. Ні адзін з гэтых адказаў нельга прачытаць з інтэрфейсу, і выбар аднаго з іх толькі таму, што ён стаяў побач з адрасам тунеля, — гэта спосаб зламаць працоўную канфігурацыю.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Трэці радок — гэта месца, дзе аптымізм ператвараецца ў прастой. Маршрутызацыя ўсяго прыватнага дыяпазону ў тунель, які абслугоўвае толькі адзін сайт, штурхае старонні трафік на шлях, які не можа яго даставіць, і ўзнікаючыя збоі выглядаюць як зламаны VPN, а не як занадта шырокі маршрут.
Выберыце прэфікс з патрабавання
Запішыце патрабаванне сказам, перш чым кранаць профіль: якія хасты павінны быць дасяжнымі і які самы вузкі прэфікс іх пакрывае? Адзін сервер — гэта маршрут хоста. Падсетка — гэта маршрут падсеткі. Дыяпазон падсетак — гэта зводка, а зводка — гэта абяцанне, што кожны адрас унутры яе дасяжны, што рэдка праўда.
Затым зверце лік з тым, што офіс фактычна выкарыстоўвае. Капіяванне прэфікса з паведамлення ў чаце без зверкі з планам адрасацыі сайта — гэта спосаб атрымаць маршрут, які паказвае на падсетку, якой ніхто не валодае.
Памятайце таксама, што маршрут — гэта шлях, а не дазвол. Шлюз па-ранейшаму вырашае, ці можа ваш кліент выкарыстоўваць пункт прызначэння, і служба па-ранейшаму можа вам адмовіць. Правільна ўсталяваны маршрут дастаўляе пакет туды і нічога не адказвае пра аўтарызацыю.
Дадавайце ў профіль, ніколі не замяняйце яго
Маршруты ў профілі NetworkManager — гэта шматзначная ўласцівасць, і розніца паміж устанаўленнем і даданнем — адзін сімвал. Выкарыстоўвайце форму з плюсам, каб дадаць запіс і захаваць усё ўжо захаванае.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Без плюса прызначэнне замяняе ўвесь спіс. У профілі, які ўжо нясе некалькі прэфіксаў, гэта моўчкі выдаляе тыя, што працавалі, і сімптом прыходзіць пазней у выглядзе службы, якая раней была дасяжная з гэтага ноўтбука.
Выкарыстоўвайце UUID, а не імя. Імёны дублююцца пасля аднаўлення, і злучэнне, якое вы рэдагуеце, можа быць не тым, што нясе ваш трафік. Спачатку праверце наяўнасць ідэнтычнага запісу, бо даданне дубліката няўтульнае нават калі яно бясшкоднае.
Гэты даведнік па ўласцівасцях маршрутаў апісвае пункт прызначэння, неабавязковы наступны хоп, метрыку і сінтаксіс атрыбутаў для ўсталяванай версіі. Прачытайце яго перад даданнем наступнага хопа, бо тое, ці патрэбны ён, залежыць ад інтэграцыі і тапалогіі, а ўгадванне яго па першым адрасе ў спісе інтэрфейсаў — не метад.
Маршрут па змаўчанні і DNS — асобныя рашэнні
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Аўтаматычныя маршруты — гэта другое, што не варта парушаць неасцярожна. Іх падаўленне дзеля вырашэння аднаго адсутнага запісу можа выдаліць некалькі працоўных, і чалавек, які гэта прапанаваў, звычайна глядзеў на іншы профіль з іншымі push-амі.
DNS мае свой шлях і свае збоі. Імя, якое вырашаецца ў правільны адрас праз няправільны рэзалвер, або рэзалвер, які не можа адказаць за прыватную зону, будзе выглядаць як праблема маршрутызацыі, пакуль маршрут бездакорны. Праверце адрас і імя асобна, потым вырашыце, які ўзровень насамрэч зламаўся.
Праверце, што было ўжыта
Захаваная змена — не ўжытая змена. Перападключыцеся праз падтрымліваемы жыццёвы цыкл мэнэджара, затым паглядзіце на фактычны маршрут для патрэбнага пункта прызначэння і на палітыкі, якія вырашаюць, якая табліца выкарыстоўваецца.
Калі прэфікс на месцы, а злучэнне ўсё яшчэ не працуе, вы перайшлі да іншай праблемы: выбар адраса крыніцы, зваротны маршрут на далёкім канцы або служба, якая адмаўляе вашаму кліенту. Кожнае з гэтага — лепшае месца для пошуку, чым профіль, які вы ўжо выправілі.