Router v klientském režimu VPN: proč mizí zařízení LAN

Víra, že klientský režim sám o sobě zabíjí přístup k LAN, vede lidi do špatné nabídky nastavení, a skutečné příčiny jsou obvykle dvě. Tunel neodstraňuje LAN most a nebrání kabelovým ani bezdrátovým klientům dosáhnout na sebe. Lokální přístup rozbíjí buď funkce kontroly v cestě předávání routeru, nebo rozsah adres LAN, který se posunul, když to udělal firmware. Obě dávají stejnou stížnost a ani jedno se neopraví přeinstalováním profilu VPN.

Mýtus a co klientský režim skutečně mění

Klientský režim přidá tunelové rozhraní a výchozí trasu, která přes něj vede, a potom předává LAN provoz do tohoto tunelu. Most mezi kabelovými porty a bezdrátovými rádiovými jednotkami zůstává nedotčen, stejně jako lokální přepínání. Mění se politika: který provoz se předává, kde se překládá a který resolver klienti dostanou.

Tento rozdíl je důležitý, protože rozbitá LAN obvykle znamená, že se změnila jedna z těchto tří politik, ne že router přestal být přepínačem. Router, který stále odpovídá na vlastní administrační stránku, je důkaz, že LAN rozhraní žije. Router, který neodpovídá vůbec na nic, má jiný problém, například změněnou adresu LAN nebo klienta ve špatné podsíti.

Užitečný první krok je tedy najít, která vrstva se rozbila, ne měnit vrstvu, kterou podezíráte.

Než se dotknete nastavení, otestujte tři cíle

Z kabelového klienta otestujte tři cíle odděleně a zapište každý výsledek: vlastní adresu LAN routeru, další zařízení na stejném přepínači podle IP a něco dostupného jen tunelem. Dělejte je v tomto pořadí, protože každý výsledek vylučuje jinou vrstvu. Při prvním průchodu používejte adresy místo názvů, protože selhání názvu míchá DNS do otázky konektivity.

Vzor odpovědí je diagnóza. Router, který odpovídá, zatímco lokální zařízení ne, ukazuje na lokální přepínání nebo funkci filtrování, ne na směrování. Lokální zařízení, která odpovídají, zatímco strana tunelu ne, ukazují na tunelovou trasu nebo vzdálený firewall. Vše odpovídá podle adresy, zatímco názvy selhávají, je otázka resolveru a žádné úpravy tras to nespraví.

Tabulku mějte vedle výsledků testů. Mění vágní stížnost na jeden řádek, podle kterého můžete jednat.

Bezpečnostní vrstva uvnitř cesty předávání

Spotřebitelské routery stále častěji dodávají funkci kontroly, která sleduje předávaný provoz, a běží ve stejné cestě, která nese pakety z LAN do tunelu. Když tato kontrola nedokáže klasifikovat tunelový provoz, předávání se může zaseknout, zatímco tunel sám zůstává nahoru a router hlásí zdravé spojení. V logu VPN to není vidět, protože VPN se skutečně připojila.

Diagnóza je kontrolovaný experiment, ne trvalá změna. Poznamenejte si aktuální nastavení, vypněte funkci na dobu jednoho testu, znovu zvedněte tunel a otestujte jeden lokální hostitel podle adresy. Předávání, které se vrátí, je důkaz, který jste potřebovali, a kompromis se pak stane rozhodnutím místo hádanky. Pokud se nic nezmění, okamžitě ji znovu zapněte a přejděte k příčině adresování.

Nechat placenou bezpečnostní funkci vypnutou, aby tunel dál fungoval, je kompromis, který je třeba udělat vědomě a zapsat. Stojí za to se také zeptat, zda tunel patří na jiné zařízení, protože router, který musí všechno kontrolovat, a router, který musí všechno předávat, jsou dvě různé práce.

Druhá příčina: rozsah LAN se posunul

Aktualizace firmwaru pravidelně vracejí adresu LAN na výchozí hodnotu výrobce a některé routery mají výslovný přepínač režimu, který rozhoduje, zda si LAN ponechá privátní rozsah, nebo ho zdědí od zařízení výše. Klient, který očekává 192.168.8.x, může skončit na 10.64.0.x, a pak SSH relace k hostiteli vyprší, i když je tunel naprosto zdravý.

ipconfig /all
ip addr show
ip route get 192.168.8.20

Přečtěte si prefix a bránu z pronájmu, než otevřete stránku routeru. První dva příkazy ukazují, co klient skutečně dostal, a třetí ukazuje, které rozhraní by klient použil pro lokální adresu, a právě tak se prozradí zbytková trasa nebo zastaralá podsíť. Potom to porovnejte se stránkou LAN a režimem, ve kterém router je.

Pokud se rozsah nemůže vrátit, aktualizujte každý objekt, který ho pojmenovává: rezervace DHCP, každou statickou trasu do staré podsítě a každé pravidlo firewallu s předchozím prefixem. Rozsah, který koliduje se vzdálenou podsítí tunelu, je horší varianta, protože lokální zařízení zůstávají dostupná, zatímco vzdálené cíle se tiše směrují do LAN.

Připojte se znovu a otestujte v pořadí paketů

Po kterékoli ze dvou změn znovu připojte tunel a opakujte testy v pořadí paketů: router, lokální hostitel, vzdálený hostitel, pak názvy, pak aplikace. Testování aplikace jako první skryje, která vrstva je stále rozbitá, a opakovaný pokus prohlížeče s uloženým názvem může vypadat jako selhání směrování.

Zapište verzi firmwaru, prefix LAN a stav funkce kontroly vedle profilu VPN. Všechny tři jsou konfigurace, kterou může příští aktualizace přepsat, a dva řádky poznámek ušetří hodinu, kterou jste právě strávili.