Kopiranje /32 tunela neće usmjeriti uredsku podmrežu

VPN se povezuje, interfejs prikazuje adresu s maskom od trideset dva bita, a uredski server ostaje nedostupan. Sljedeći potez često je ponovno korištenje te maske u ruti, uz tezu da interfejs opisuje šta tunel može dosegnuti. Ne opisuje. Ta adresa opisuje lokalni kraj veze od tačke do tačke, a odredište do kojeg vam je stalo nalazi se u drugom prefiksu s druge strane.

Dvije različite stvari se brkaju: adresa koju vam je tunel dao i mreža do koje želite doći kroz njega.

Dvije adrese, dva posla

Na tunelu od tačke do tačke, adresa klijenta je često jedna adresa hosta jer na drugom kraju veze postoji tačno jedan partner. Nema zajedničkog segmenta ni ARP-a, pa je maska koja bi na Ethernetu izgledala apsurdno ovdje sasvim normalna.

Prefiks odredišta je činjenica o uredskoj mreži, ne o tunelu. Ako vam treba jedan server, ruta je ruta hosta za taj server. Ako vam treba cijela uredska podmreža, ruta je podmreža. Nijedan od tih odgovora ne može se pročitati s interfejsa, a biranje jednoga jer se pojavilo pored adrese tunela jeste način da se radi setup pokvari.

Treći red je mjesto gdje optimizam postaje prekid. Usmjeravanje cijelog privatnog opsega u tunel koji služi samo jednoj lokaciji gura nepovezani saobraćaj na put koji ga ne može dostaviti, a nastali kvarovi izgledaju kao pokvaren VPN, a ne kao preširoka ruta.

Odaberite prefiks iz zahtjeva

Napišite zahtjev kao rečenicu prije nego što dirnete profil: koji hostovi moraju biti dostupni i koji ih najuži prefiks pokriva? Jedan server je ruta hosta. Podmreža je ruta podmreže. Opseg podmreža je sažetak, a sažetak je obećanje da je svaka adresa unutar njega dostupna, što je rijetko tačno.

Zatim provjerite broj prema onome što ured zaista koristi. Kopiranje prefiksa iz chat poruke bez provjere prema planu adresiranja lokacije jeste način da ruta završi usmjerena na podmrežu koju niko ne posjeduje.

Zapamtite i da je ruta put, a ne dozvola. Gateway i dalje odlučuje smije li vaš klijent koristiti odredište, a servis vas i dalje može odbiti. Ispravno instaliranje rute dovodi paket tamo i ne odgovara ništa o autorizaciji.

Dodajte u profil, nikada ga ne zamjenjujte

Rute u NetworkManager profilu su viševrijedno svojstvo, a razlika između postavljanja i dodavanja je jedan znak. Koristite plus formu da dodate unos i zadržite sve što je već sačuvano.

nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
  +ipv4.routes "10.40.20.9/32"

Bez plusa, dodjela zamjenjuje cijelu listu. Na profilu koji već nosi nekoliko prefiksa to tiho briše one koji su radili, a simptom dolazi kasnije kao servis koji je prije bio dostupan s ovog laptopa.

Koristite UUID umjesto imena. Imena se dupliciraju nakon vraćanja, a veza koju uređujete možda nije ona koja nosi vaš saobraćaj. Prvo provjerite postoji li identičan unos, jer dodavanje duplikata je neuredno čak i kad je bezopasno.

Ova referenca svojstava ruta dokumentuje odredište, opcionalni sljedeći skok, metriku i sintaksu atributa za instaliranu verziju. Pročitajte je prije dodavanja sljedećeg skoka, jer to da li je potreban zavisi od integracije i topologije, a pogađanje iz prve adrese na listi interfejsa nije metod.

Zadana ruta i DNS su odvojene odluke

Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.

Automatske rute su druga stvar koju ne treba neoprezno dirati. Njihovo potiskivanje da bi se riješio jedan nedostajući unos može ukloniti nekoliko radnih, a osoba koja je to predložila obično je gledala drugi profil s drugim push-evima.

DNS ima svoju putanju i svoje kvarove. Ime koje se razrješava na ispravnu adresu preko pogrešnog resolvera, ili resolver koji ne može odgovoriti za privatnu zonu, izgledat će kao problem rutiranja dok je ruta savršena. Testirajte adresu i ime odvojeno, pa odlučite koji je sloj zaista zakazao.

Provjerite šta je primijenjeno

Sačuvana izmjena nije primijenjena izmjena. Ponovo se povežite kroz podržani životni ciklus menadžera, pa pogledajte stvarnu rutu za željeno odredište i pravila politike koja odlučuju koja se tabela koristi.

Ako je prefiks tu, a veza još ne radi, prešli ste na drugi problem: izbor izvorne adrese, povratna ruta na udaljenom kraju ili servis koji odbija vašeg klijenta. Svako od toga je bolje mjesto za pogled od profila koji ste već ispravili.