L’adaptador VPN mostra /32: no vol dir una sola destinació

Els adaptadors mostren 255.255.255.255, i sovint se n’extreu que la VPN pot arribar exactament a una adreça. Aquesta lectura confon l’adreça del propi client amb el conjunt de destinacions que es dirigeixen pel túnel. En una interfície punt a punt o encaminada, les dues coses són objectes diferents, i només una limita l’abast. El mite sobreviu perquè la màscara sembla la màscara de subxarxa que la gent va aprendre a Ethernet.

El mite: una màscara d’equip vol dir un sol equip abastable

Una assignació /32 diu a la interfície quina adreça pertany a aquest extrem de l’enllaç, i en un enllaç punt a punt això és tot el que vol dir. L’adreça del par és un camp a part, i les rutes que diuen què hi ha més enllà del par són una altra cosa. Res a la màscara no descriu la xarxa remota, perquè la màscara no és el lloc on es descriuen les xarxes remotes. Llegir-la com un límit d’abast és com llegir el número de casa teva com una llista de totes les adreces que pots visitar.

La confusió té una arrel real: a Ethernet, una màscara d’equip sí que voldria dir una sola adreça en aquell segment. Un túnel no és un segment Ethernet, i és la taula d’encaminament del client, no la màscara, qui decideix què hi passa. És per això que la mateixa /32 pot seure davant d’un centre de dades sencer.

Llegeix l’adreça i les rutes com a objectes separats

Imprimeix la interfície i la taula juntes, i després llegeix-les com dues respostes a dues preguntes. L’adreça respon qui és aquest extrem; les rutes responen on pot anar el trànsit. Una tercera pregunta, quines destinacions permet la passarel·la, no és visible en absolut al client. La referència d’adreces d’iproute2 descriu els camps d’adreça local, de par i de ruta de prefix per separat exactament per aquest motiu.

ip addr show tun0
ip route show
ip route get 10.60.5.10

A Windows la mateixa separació existeix entre la llista d’adreces i la taula d’encaminament, i l’ordre de consulta és la manera més ràpida de veure quin guanya per a una destinació concreta. Si la consulta retorna la interfície del túnel, el client hi enviarà el paquet. Si retorna l’adaptador físic, el client no pregunta mai a la VPN, i cap permís del servidor no ho canviarà. Comprova la destinació que realment necessites, no una adreça pública genèrica.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Atura’t si la consulta apunta a la interfície equivocada. Això és un problema d’encaminament del client, i es corregeix al client.

Per què eixamplar la màscara normalment ho empitjora

Canviar l’assignació a una /24 perquè sembli la LAN de l’oficina pot crear un prefix enllaçat: ara el nucli creu que tota la /24 penja directament de la interfície del túnel. El trànsit cap a adreces que haurien d’anar per la passarel·la s’envia llavors com si un veí fos a l’enllaç. El resultat és un forat negre que sembla una caiguda del servidor.

També amaga el problema real, que és una ruta que falta o un permís que falta a la passarel·la. Cap de les dues coses no la crea una màscara més ampla, i totes dues sobreviuen al canvi. Si el disseny necessita un prefix més gran a la interfície, això és una decisió per al model d’interfície que s’utilitza, presa amb la documentació a la mà. Copiar una màscara de les captures d’un altre producte no és aquesta decisió.

Si falta la ruta del prefix remot, arregla’n el proveïment. Si hi és i la connexió encara es rebutja, la màscara no era mai el diagnòstic.

Quan la ruta és correcta i el flux encara falla

Una ruta correcta només demostra que el client enviarà el paquet. La passarel·la encara ha d’acceptar la destinació, el camí de tornada ha d’existir per a l’adreça assignada, i el servei ha de permetre el flux. Prova aquestes tres coses per separat: la consulta al client, l’abast permès de la passarel·la i una petició a un servidor necessari. Que l’autenticació tingui èxit abans que les tres coses hi siguin és normal, i és per això que un client connectat encara no pot arribar enlloc.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Mantén els objectes de xarxa i els permisos de grup amb el seu propietari en un servei gestionat per un aparell. Allò que es diu al client que ha d’assolir i allò que se li permet utilitzar són paràmetres diferents, sovint en pantalles diferents. Canviar-ne un i provar l’altre és com un tiquet va saltant entre dos equips.

El mite que cal jubilar és que la màscara sigui un límit d’abast. Llegeix l’adreça, les rutes i la política de la passarel·la com tres fets separats, i una /32 deixa de semblar una restricció i comença a semblar una assignació normal de túnel.