VPN adapter prikazuje /32: to ne znači samo jednu destinaciju

Adapteri prikazuju 255.255.255.255, a zaključak je često da VPN doseže točno jednu adresu. Takvo čitanje miješa vlastitu adresu klijenta sa skupom odredišta koja se usmjeravaju kroz tunel. Na točka-na-točku ili usmjerenom sučelju to su dva različita objekta, i samo jedan od njih ograničava dosegljivost. Mit opstaje jer maska izgleda kao podmrežna maska koju su ljudi naučili na Ethernetu.

Mit: maska hosta znači jedan dosegljiv host

Dodjela /32 kaže sučelju koja adresa pripada ovom kraju veze, a na vezi točka-na-točku to je sve što znači. Adresa partnera zasebno je polje, a rute koje govore što leži iza partnera opet su zasebne. Ništa u maski ne opisuje udaljenu mrežu, jer maska nije mjesto na kojem se opisuju udaljene mreže. Čitati je kao granicu dosegljivosti znači čitati vlastiti kućni broj kao popis svih adresa koje smijete posjetiti.

Zabuna ima stvarni korijen: na Ethernetu bi maska hosta doista značila jednu jedinu adresu na tom segmentu. Tunel nije Ethernet segment, a o tome što prolazi kroz njega odlučuje usmjerivačka tablica klijenta, ne maska. Zato ista /32 može stajati pred cijelim podatkovnim centrom.

Čitajte adresu i rute kao zasebne objekte

Ispišite sučelje i tablicu zajedno, pa ih čitajte kao dva odgovora na dva pitanja. Adresa odgovara tko je ovaj kraj; rute odgovaraju kamo promet smije ići. Treće pitanje, koja odredišta pristupnik dopušta, uopće nije vidljivo na klijentu. Referenca za adrese iproute2 upravo zato zasebno opisuje polja lokalne adrese, partnera i rute prefiksa.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Na Windowsu ista podjela postoji između popisa adresa i usmjerivačke tablice, a naredba za pretragu najbrži je način da vidite koja pobjeđuje za određeno odredište. Ako pretraga vrati tunelsko sučelje, klijent će paket poslati tamo. Ako vrati fizički adapter, klijent nikada ne pita VPN, i nikakvo dopuštenje na strani poslužitelja to neće promijeniti. Provjerite odredište koje stvarno trebate, a ne općenitu javnu adresu.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Zaustavite se ako pretraga pokazuje na pogrešno sučelje. To je problem usmjeravanja na klijentu i rješava se na klijentu.

Zašto proširenje maske obično pogoršava stvari

Promjena dodjele u /24 da bi izgledala kao uredski LAN može stvoriti prefiks na vezi: jezgra sada vjeruje da je cijela /24 izravno priključena na tunelsko sučelje. Promet za adrese koje bi trebalo usmjeriti kroz pristupnik zatim se šalje kao da je susjed na vezi. Rezultat je crna rupa koja izgleda kao ispad poslužitelja.

Ona također skriva stvarni problem, a to je ruta koja nedostaje ili dopuštenje koje nedostaje na pristupniku. Ni jedno ni drugo ne stvara šira maska, i oboje nadžive promjenu. Ako dizajn treba veći prefiks na sučelju, to je odluka za korišteni model sučelja, donesena s dokumentacijom u ruci. Kopiranje maske sa snimki zaslona drugog proizvoda nije ta odluka.

Ako ruta udaljenog prefiksa nedostaje, popravite njezino osiguranje. Ako postoji, a veza se još odbija, maska nikada nije bila dijagnoza.

Kad je ruta ispravna, a tok još ne uspijeva

Ispravna ruta dokazuje samo da će klijent poslati paket. Pristupnik još mora prihvatiti odredište, povratni put mora postojati za dodijeljenu adresu, a usluga mora dopustiti tok. Ispitajte to troje odvojeno: pretragu na klijentu, dopušteni opseg pristupnika i zahtjev prema jednom potrebnom poslužitelju. Uspješna provjera identiteta prije nego što sve troje stoji na mjestu normalna je, i zato povezani klijent još uvijek ne može doći nikamo.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Držite mrežne objekte i dopuštenja grupa uz njihova vlasnika na usluzi kojom upravlja uređaj. Ono što se klijentu kaže da dosegne i ono što smije koristiti različite su postavke, često na različitim zaslonima. Promijeniti jedno i testirati drugo način je na koji zahtjev skače između dva tima.

Mit koji treba umiroviti jest da je maska granica dosegljivosti. Čitajte adresu, rute i politiku pristupnika kao tri odvojene činjenice, i /32 prestaje izgledati kao ograničenje i počinje izgledati kao uobičajena dodjela tunela.