Dodijelite LAN hostovima povratnu rutu VPN-a putem DHCP opcije 121

Udaljeni VPN klijenti se povezuju, LAN server odgovara, a odgovor izlazi kroz obični internet ruter i tu umire. Jedan server se može popraviti statičkom rutom, ali cijeli podmrežni skup njih bolje je riješiti tamo gdje već dobijaju svoju mrežnu konfiguraciju. DHCPv4 opcija 121 distribuira upravo takvu rutu do odredišta, i to je dio koji ljudi obično pogreše čim zaborave zadanu rutu. Simptom je jednosmjerni saobraćaj: zahtjevi stižu, a odgovori nestaju.

Prvo imenujte tri adrese

Uzmite konkretnu LAN mrežu: 192.168.50.0/24 s uobičajenim zadanim ruterom na 192.168.50.1 i odvojenim VPN gatewayem na 192.168.50.2. Autentificirani udaljeni klijenti zauzimaju 10.90.0.0/24.

Ruta koja treba svakom hostu učesniku je 10.90.0.0/24 via 192.168.50.2. Odredište je bazen klijenata, a sljedeći skok je LAN adresa gatewaya, a ne njegova adresa u tunelu.

Kodirajte je kao besklasnu statičku rutu

Opcija 121 nosi parove prefiksa i sljedećeg skoka, a RFC 3442 definiše i kodiranje i ponašanje klijenta koje iz toga slijedi. Za postojeću dnsmasq instancu koja služi samo ovoj ilustrativnoj LAN mreži, oblik konfiguracije je:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

To je fragment, a ne nova DHCP usluga. Na serveru koji opslužuje nekoliko segmenata, ograničite opciju oznakama ili mrežnom politikom koju već koristite. Držite prethodnu konfiguraciju pri ruci, jer vraćanje unazad znači još jedno obnavljanje zakupa, a ne restart.

Ne izgubite zadanu rutu

To je zamka. Klijent koji primi opciju 121 mora zanemariti običnu Router opciju, pa oglašavanje samo rute VPN bazena može ostaviti taj host potpuno bez zadane rute. Mašina i dalje izgleda konfigurirano i tiho gubi internet. Korisnici to opisuju kao da je mreža pala dok su svi interfejsi podignuti.

Uključite željenu zadanu rutu na istu listu, kao što gornji fragment čini. Zadržite i običnu Router opciju za klijente koji ne implementiraju besklasne rute; serverovo vlastito rukovanje opcijama odlučuje šta se kome šalje.

Provjerite šta će klijent prihvatiti

Host s ručno dodijeljenom adresom to nikada ne preuzme, jer ne traži zakup. Podrška kod klijenata također varira, pa testirajte na operativnom sistemu koji zaista koristite umjesto da pretpostavite da svaki uređaj poštuje opciju 121. Provjerite s onima koji posjeduju te servere koji su statički adresirani. Ti hostovi trebaju vlastite unose ruta ili jednostavno neće učestvovati.

Upravljane DHCP usluge su još jedno ograničenje. Neke cloud mreže ne dopuštaju administratorima objavljivanje proizvoljnih opcija, a konkurentski DHCP server na istom segmentu gori je od nikakve opcije.

Provjerite zakup, zatim pretragu

Neka vlasnik DHCP-a primijeni promjenu, a zatim obnovite zakup na klijentu. Postojeći zakupi zadržavaju staru konfiguraciju dok se ne obnove, pa trenutni rezultati nisu zagarantovani.

Na Linux klijentu pročitajte stvarne rute i potvrdite oba unosa:

ip -4 route
ip -4 route get 10.90.0.23

Kontekstna pretraga treba pokazati rutu bazena kroz 192.168.50.2 i zadanu kroz 192.168.50.1. Ako zadana nedostaje, reproducirali ste gornju zamku.

Zatim testirajte stvarnu razmjenu

Distribucija ruta nije cijela staza. Odvojeni gateway i dalje treba prosljeđivanje, vlasništvo nad udaljenim peerovima i politiku pristupa koja dopušta server, a DHCP nikoga ne autentificira.

Na kraju, imajte plan uklanjanja. Naučena statička ruta se ne povlači sama kad VPN padne, pa zastario sljedeći skok može pretvoriti taj prefiks u crnu rupu mnogo nakon što tunela više nema.