Zašto VPN s punim tunelom skriva vaše rutirane lokalne VLAN mreže

Prekidač “allow local network” u VPN klijentu zvuči kao da pokriva sve u zgradi. U praksi obično dodaje nekoliko izuzetaka za privatne adrese na zadanu rutu tunela i tu staje. Vaš VLAN za pohranu ostaje dostupan samo ako ruta za taj konkretni prefiks preživi dolazak tunela, a kod mnogih klijenata ne preživi.

To je pitanje rutiranja, a ne VPN postavke, što je dobra vijest: ima konkretan odgovor.

Šta allow-local-network zapravo pokriva

Klijenti tu opciju implementiraju različito. Neki dodaju rute za podmrežu na koju je mašina priključena, neki dodaju raspone RFC 1918, a malo njih isključuje samo zadani gateway. Nijedan od njih ne zna da vaš uredski ruter opslužuje i VLAN za pohranu, laboratorijski segment ili podmrežu printera, jer ti prefiksi nisu na žici koju klijent vidi. Pročitajte vlastitu dokumentaciju klijenta za točno ponašanje umjesto da pretpostavljate da oznaka opisuje vašu topologiju.

Razlika je najvažnija u dizajnu punog tunela, gdje klijent namjerno zamjenjuje zadanu rutu kako bi sav promet išao kroz VPN. To je cijela poanta dizajna, a upravo to čini da lokalne rutirane mreže nestanu. Nikad nisu bile pokrivene vlastitom rutom; vozile su se na zadanoj ruti koja je upravo zamijenjena. Klijent ne može rutirati ono za što ne zna da postoji, a uči samo o prefiksima priključenim na vlastito sučelje. Sve ostalo mora opisati neko ko poznaje topologiju.

Povezane rute staju na prvom ruteru

Radna stanica na 192.168.10.20/24 s gatewayom 192.168.10.1 automatski dobija povezanu rutu za 192.168.10.0/24. VLAN za pohranu na 192.168.20.0/24 je drugi prefiks, dostupan samo kroz taj gateway, a radna stanica nema rutu za njega osim zadane. Prije nego tunel ustane, obična zadana ruta slučajno šalje promet prema pohrani na 192.168.10.1 i sve radi.

Kada VPN instalira zadanu rutu punog tunela, paketi za 192.168.20.1 slijede novu zadanu rutu u tunel. Udaljeni gateway nema pojma gdje taj prefiks živi, pa ih odbacuje ili prosljeđuje negdje beskorisno. Ništa nije bilo pogrešno konfigurirano na VLAN-u za pohranu; njegov put je bio posuđen, a pozajmica je pozvana natrag.

Iskušenje je posegnuti za širokim izuzetkom, poput para ruta /1 ili druge zadane rute. Oduprite se tome. Što je izuzetak uži, to ga je lakše objasniti, provjeriti i ukloniti kada se mreža promijeni.

Stavite izuzetak u tablicu koja pobjeđuje

Unutar jedne tablice rutiranja /24 pobjeđuje /0 ili /1 prema najduljem podudaranju prefiksa, pa je konkretna ruta do VLAN-a za pohranu kroz lokalni gateway dovoljna, pod uvjetom da se tablica uopće pregledava. Na Linuxu je uobičajeni oblik kratak:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Rutiranje po politici komplicira to jamstvo. Ranije pravilo može poslati promet u tablicu čija vlastita zadana ruta vodi u tunel, pa se glavna tablica koja drži vaš /24 tada nikad ne dosegne. Provjerite pravila prije nego pretpostavite da je ruta mjerodavna, jer ispravan na izgled unos u pogrešnoj tablici objašnjava kvar koji izgleda kao slomljena ruta.

Zatim učinite unos trajnim kroz mehanizam koji klijent podržava ili kroz mrežni upravitelj koji posjeduje sučelje. Ruta otipkana u promptu nestaje pri sljedećem ponovnom spajanju, a ruta vezana uz jedan Wi-Fi gateway nije prenosiva na sljedeću mrežu koju prijenosnik posjeti.

Imena i politika ne slijede rute

Popravak rute vraća pakete, ne imena. Ako se lokalni uređaji razrješavaju kroz nametnuti razrješivač koji o njima ne zna ništa, montiranje i dalje ne uspijeva iako je adresa dostupna. Lokalna imena trebaju lokalni ili podijeljeni DNS aranžman, a to je odluka odvojena od izuzetka rute.

Politika je opet odvojena. Filter lokalnog pristupa VPN klijenta može namjerno zabraniti promet prema privatnim rasponima, a ruta ne nadjačava to pravilo. Na nepouzdanoj mreži privatna adresa također nije dokaz da je odredište vaš poslužitelj za pohranu, pa izuzetak treba biti konkretan kao i sama ruta.

Ugovor koji možete predati

Gotov dizajn treba čitati kao kratak popis: opći internetski promet slijedi tunel, a ovi imenovani lokalni prefiksi zadržavaju svoj put kroz lokalni ruter. Zapišite prefikse, sljedeći hop i DNS sufiks koji ide s njima, i držite popis dovoljno kratkim da ga neko može provjeriti bez čitanja tablice rutiranja.

Pazite na preklapanje lokalnih i udaljenih raspona. VLAN za pohranu koji dijeli prefiks s nečim iza VPN-a razriješit će se na rutu koja je specifičnija, a rezultirajuće ponašanje zbunjuje na način koji izgleda povremeno. Prenumeriranje jedne strane obično je jeftinije od vječnog otklanjanja nejasnoće.

Testirajte ugovor dvaput: jednom s uključenim tunelom i jednom s isključenim. Ako lokalni put radi samo u jednom od tih stanja, izuzetak još nije ugovor.