Никой маршрут не поправя VPN пул, който застъпва LAN

Когато пулът на тунела и домашната LAN споделят 192.168.1.0/24, локалната подмрежа печели. Преномерирайте страната, която контролирате, или преобразувайте отдалечения диапазон.

Приложението твърди, че тунелът е здрав, а половината от нужните ви дестинации така и не отговарят. Рефлексът е да добавите маршрут или да намалите метриката, и точно този рефлекс е митът, който заслужава да бъде убит пръв. Когато собствената LAN на клиента и пулът на тунела претендират за един и същ префикс, таблицата за маршрутизация държи два несъвместими факта и нито маршрут по подразбиране, нито метрика ги решава. Поправката е решение за адресиране и никакво редактиране на маршрути не я замества.

Защо допълнителен маршрут не може да раздели един префикс

Маршрутът не може да раздели две претенции за един префикс, затова разумният ход е да спрете да търсите правилния ред за маршрут. Стекът няма да постави идентичен префикс преди свързания маршрут, а по-конкретен запис наистина прихваща адреса, но прави локалния хост, който го притежава, недостъпен. Това, което изглежда проблем с маршрутизацията, е сблъсък на адресиране и двете поправки сменят адреси, а не маршрути. Проверете това твърдение на своята машина, преди да го приемете.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Попитайте системата за един адрес и отбележете кой интерфейс назовава. Linux, macOS и Windows отговарят с проверка само за четене, която съобщава избрания интерфейс и следващия хоп, без да предава нищо. Когато отговорът сочи физическия адаптер, докато тунелът е вдигнат, ядрото третира адреса като на линка, а не като нещо, което тунелът би могъл да носи.

Поставете предоставения от доставчика префикс до този, който обслужва домашният рутер, и ги сравнете като низове. Точното съвпадение е ясният случай, а по-широк пул на доставчика, който съдържа домашната подмрежа, се проваля по същия начин, но се пропуска по-лесно. Два префикса, които само изглеждат сходни, не са сблъсък, затова запишете и двата, преди да промените нещо.

Прочетете пула, който клиентът действително получи

Четете какво е получил клиентът, а не маркетинговата страница на доставчика. Увеличете подробността на журнала на OpenVPN клиент и маршрутите, изпратени от сървъра, ще се появят в него, разкривайки префиксите на тунела; другаде пулът се показва в подробностите на връзката или върху самия адаптер. Поискайте от доставчика пълния списък на частните диапазони, които използва, защото една /24 днес може да стане две утре. Да избягвате обичайните блокове RFC 1918 не е същото като да избягвате разпределението, което действително ви е дадено.

Пулът може също да се свие или да се премести между региони, затова списъкът се нуждае от дата и собственик. Приемайте всеки отговор на доставчика, по-стар от последната ви промяна в плана, като догадка, а не като факт. Попитайте отново, преди да се ангажирате с диапазон, и пазете отговора с мрежовите бележки, за да наследи следващият човек доказателството.

Преномерирането е поправката, която можете да направите

Ако VPN сървърът не е ваш, за да го промените, преместването на домашната LAN е единствената налична поправка, и това е обичайната ситуация при търговски доставчик. Изберете диапазон извън пула на доставчика и извън диапазоните, които може да ви потрябват по-късно, и го проверете срещу всеки друг сайт, който достигате през тунел. Очаквайте кратко прекъсване и по-дълга опашка от забравени устройства: устройство, което още държи стария адрес, изглежда работещо, докато не му потрябва шлюзът.

  1. Първо инвентаризация: собственият адрес на рутера, обхватът на DHCP, резервациите, пренасочванията на портове и всяко устройство, чийто адрес е въведен на ръка.
  2. След това сменете LAN префикса на рутера и обхвата на DHCP заедно в прозорец за поддръжка и подновете кабелните наеми преди безжичните.
  3. После коригирайте статичните адреси: принтери, мрежово хранилище, всичко с твърдо зададен шлюз.
  4. Накрая свържете отново VPN клиента и потвърдете, че адресът на тунела вече не се сблъсква с LAN.

Минете през адресите в този ред, а не наведнъж, и оставете стария диапазон документиран за известно време, за да е разпознаваемо старото устройство, а не загадъчно. Устройство, което никога не подновява, се издава с това, че не достига до шлюза, което е много по-добра следа от обаждане до поддръжката. Ако рутерът раздава наеми за повече от ден, скъсете ги за времето на прозореца.

Какво може и какво не може един псевдоним

Когато сървърът е ваш, преобразуването на адреси на клиента може да покаже отдалечения префикс в свободен локален диапазон, така че същият хост отговаря на втори адрес. Общностният OpenVPN прави това с client-nat, и тази директива е специфична за онзи клиент, липсва при търговските и мобилните клиенти, с които обикновено я сравняват. Схемата изисква маршрут, който съответства на преобразуването, свободен диапазон за псевдонима и сървър, готов да отговори на непреобразувания адрес на клиента. Нищо от това не помага, когато клиентът принадлежи на управляван доставчик, който не можете да конфигурирате.

След като промяната влезе в сила, достигнете локален и отдалечен хост първо по адрес, после по име, като отбелязвате маршрута, който системата избира всеки път. Име може още да се резолвва в стария диапазон, затова адресите и имената заслужават независими проверки. Рестартирайте един клиент и едно устройство от страна на сървъра, ако някое е останало включено през промяната, защото кешираните записи за съседи живеят по-дълго от редакцията.

Запишете префиксите, на които сте се спрели, там, където хората наистина гледат: мрежовите бележки, полето за коментар на рутера, страницата за първоначално включване. Някой ще избере отново 192.168.1.0/24 и сблъсъкът ще се върне с него.

Подобни статии