Proč full-tunnel VPN skrývá vaše směrované lokální VLAN

Přepínač „allow local network“ v klientu VPN zní, jako by pokrýval vše v budově. V praxi obvykle přidá několik výjimek pro privátní adresy do výchozí trasy tunelu a tam skončí. Vaše úložná VLAN zůstane dostupná jen tehdy, pokud trasa pro tento konkrétní prefix přežije příchod tunelu, a u mnoha klientů nepřežije.

To je otázka směrování, ne nastavení VPN, což je dobrá zpráva: má konkrétní odpověď.

Co allow-local-network skutečně pokrývá

Klienti tuto volbu implementují různě. Někteří přidají trasy pro podsíť, ke které je stroj připojen, někteří přidají rozsahy RFC 1918 a několik jich vyloučí jen výchozí bránu. Žádný z nich neví, že váš kancelářský router obsluhuje také úložnou VLAN, laboratorní segment nebo podsíť tiskáren, protože tyto prefixy nejsou na drátu, který klient vidí. Přečtěte si vlastní dokumentaci klienta pro přesné chování, místo abyste předpokládali, že popisek vystihuje vaši topologii.

Rozdíl je nejdůležitější u návrhu plného tunelu, kde klient záměrně nahrazuje výchozí trasu, aby veškerý provoz šel přes VPN. To je celý smysl návrhu a právě to způsobuje, že lokální směrované sítě mizí. Nikdy nebyly pokryty vlastní trasou; vezly se na výchozí trase, která byla právě nahrazena. Klient nemůže směrovat to, o čem neví, že existuje, a učí se jen o prefixech připojených k vlastnímu rozhraní. Všechno ostatní musí popsat někdo, kdo topologii zná.

Připojené trasy končí na prvním routeru

Pracovní stanice na 192.168.10.20/24 s bránou 192.168.10.1 dostane automaticky připojenou trasu pro 192.168.10.0/24. Úložná VLAN na 192.168.20.0/24 je jiný prefix, dostupný jen přes tuto bránu, a pracovní stanice pro něj nemá trasu kromě výchozí. Než tunel vstane, běžná výchozí trasa náhodou posílá úložný provoz na 192.168.10.1 a všechno funguje.

Když VPN nainstaluje výchozí trasu plného tunelu, pakety pro 192.168.20.1 následují novou výchozí trasu do tunelu. Vzdálená brána nemá ponětí, kde tento prefix žije, takže je zahodí nebo přepošle někam zbytečně. Na úložné VLAN nebylo nic špatně nastaveno; její cesta byla půjčená a půjčka byla vyzvána zpět.

Pokušení je sáhnout po široké výjimce, třeba po dvojici tras /1 nebo druhé výchozí trase. Odolejte mu. Čím užší výjimka je, tím snazší je ji vysvětlit, auditovat a odstranit, když se síť změní.

Dejte výjimku do tabulky, která vyhrává

V jedné směrovací tabulce poráží /24 trasy /0 nebo /1 díky nejdelší shodě prefixu, takže konkrétní trasa do úložné VLAN přes lokální bránu stačí, pokud se tabulka vůbec prohlíží. Na Linuxu je obvyklá podoba krátká:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Politické směrování tuto záruku komplikuje. Dřívější pravidlo může poslat provoz do tabulky, jejíž vlastní výchozí trasa míří do tunelu, a hlavní tabulka s vaší /24 se pak nikdy nedosáhne. Zkontrolujte pravidla, než budete trasu považovat za směrodatnou, protože správně vypadající záznam ve špatné tabulce vysvětluje selhání, které vypadá jako rozbitá trasa.

Potom záznam ztrvalte mechanismem, který klient podporuje, nebo správcem sítě, jemuž rozhraní patří. Trasa napsaná do příkazu zmizí při dalším připojení a trasa vázaná na jednu Wi-Fi bránu není přenosná do další sítě, kterou notebook navštíví.

Jména a politiky trasy nenásledují

Oprava trasy obnoví pakety, ne jména. Pokud se lokální zařízení překládají přes vnucený resolver, který o nich nic neví, připojení svazku stejně selže, i když je adresa dostupná. Lokální jména potřebují lokální nebo rozdělené DNS uspořádání, a to je rozhodnutí oddělené od výjimky trasy.

Politika je znovu oddělená. Filtr lokálního přístupu v klientu VPN může záměrně zakazovat provoz do privátních rozsahů a trasa toto pravidlo nepřekonává. V nedůvěryhodné síti navíc privátní adresa není důkazem, že cílem je váš úložný server, takže výjimka má být stejně konkrétní jako trasa sama.

Smlouva, kterou můžete předat

Hotový návrh by měl číst jako krátký seznam: běžný internetový provoz jde tunelem a tyto pojmenované lokální prefixy si drží cestu přes lokální router. Zapište prefixy, další skok a DNS sufix, který k nim patří, a držte seznam dost krátký na to, aby ho někdo ověřil bez čtení směrovací tabulky.

Hlídejte si překryv mezi lokálními a vzdálenými rozsahy. Úložná VLAN, která sdílí prefix s něčím za VPN, se přeloží na trasu, která je konkrétnější, a výsledné chování mate způsobem, který vypadá občasně. Přečíslování jedné strany je obvykle levnější než věčné ladění nejednoznačnosti.

Otestujte smlouvu dvakrát: jednou se zapnutým tunelem a jednou s vypnutým. Pokud lokální cesta funguje jen v jednom z těch stavů, výjimka ještě není smlouva.