Локалните устройства изчезват във VPN: три отделни повреди

Принтер, който изчезва от списъка с устройства при включване на VPN, може все още да отговаря на адреса си. Списъкът се попълва от откриването, името може да идва от резолвер, а до самата услуга се стига през сокет и трите могат да се повредят независимо. Сравняването на това какво работи на всяко ниво ви показва коя функция да промените. Ако първо включите всички изключения за локален достъп, доказателствата изчезват.

Това е разликата между устройство, което липсва, и устройство, което просто не се обявява.

Откриването, имената и достъпността са три нива

Протоколите за откриване разчитат на multicast или broadcast, а те по подразбиране не преминават през маршрутизиран тунел, затова устройството може да изчезне от списък, оставайки напълно достъпно. Разрешаването на имена е второ ниво: VPN може да смени резолвера и име, на което преди е отговаряла локалната мрежа, сега може да се отговаря другаде или изобщо да не се отговаря. Достъпността е третото: маршрут, правило на защитна стена и слушаща услуга. Всяко ниво може да се счупи, докато другите две са наред.

Проверявайте ги отдолу нагоре. Една проверка на достъпността прави разделението очевидно: nc -vz 192.168.1.20 443 или успява, което значи, че пътят и услугата са наред и заподозряното е името, или се проваля, което премества въпроса към маршрутизацията и политиката. След това попитайте името. Първата повреда, на която се натъкнете, е нивото, върху което да работите, а нивата над него не могат да я компенсират.

Питайте първо адреса, после името на хоста

Ако адресът отговаря, а името не, проблемът е в разрешаването, а не в маршрутизацията. VPN клиент, който инсталира собствен резолвер, може да промени кой сървър отговаря на локалните имена, а клиент, който не препраща локалния домейн, оставя името без отговор. Ако и адресът се проваля, проблемът е в пътя: маршрут по подразбиране през тунела, блокиране на локалния трафик от страна на клиента или правило на защитна стена, което разрешава само физическия интерфейс.

Ако и двете работят, но автоматичното откриване не, устройството просто не се обявява през тунела. Това е очаквано поведение за откриване на базата на multicast, а не повреда в конфигурацията. Добавянето на устройството по адрес обикновено е честното решение.

Какво всъщност променя превключвателят за локален достъп

Настройката за достъп до локална мрежа обикновено позволява на трафика към пряко свързаната подмрежа да заобикаля тунела и прави различни неща в различните клиенти. Тя не настройва препращане към отдалечен офис и не променя защитната стена на хоста или собствените разрешения на приложението. Тя също не прави припокриващата се подмрежа еднозначна. Прочетете документацията на клиента за това какво покрива настройката, преди да я включите широко.

Тясно изключение за едно доверено устройство е по-добре от общо разрешение, особено в гостуваща мрежа, където блокирането може да е умишлено. Частният адрес не е проверка на самоличността, затова изборът зависи от мрежата, в която сте.

Когато мрежите се припокриват

Ако домашната и отдалечената мрежа използват един и същ диапазон, маршрутизацията става двусмислена и нито превключвателят за локален достъп, нито изключение я решават. Две услуги на един адрес не могат да бъдат достигнати едновременно и коя ще победи зависи от конкретността на маршрута и подредбата, а не от намерението. Решението е планиране на адресите, а не настройка на клиента. Проверете диапазоните, преди да прекарате една вечер с принтера.

За устройство зад отдалечения шлюз операторът притежава препращането, политиката на хоста и обратния маршрут. Локална отметка в клиента не може да осигури никое от тях и да я поискате е по-продуктивно, отколкото да експериментирате с превключватели.

Запишете кое ниво се е счупило и какво сте променили. Следващото устройство ще се счупи на едно от същите три места.