Zkopírování /32 tunelu kancelářskou podsíť neprosměruje
Adresa, kterou VPN přidělí adaptéru, popisuje spoj, ne cíl. Přidejte do profilu prefix prostředku a výchozí trasu nechte na pokoji.
VPN se připojí, rozhraní zobrazí adresu s maskou o třiceti dvou bitech a kancelářský server zůstává nedostupný. Dalším krokem bývá tuto masku znovu použít v trase, s domněnkou, že rozhraní popisuje, co tunel dokáže dosáhnout. Nedokáže. Ta adresa popisuje místní konec spoje bod-bod a cíl, na kterém vám záleží, leží v jiném prefixu na jeho druhé straně.
Zaměňují se dvě různé věci: adresa, kterou vám tunel dal, a síť, do které se přes něj chcete dostat.
Dvě adresy, dva úkoly
U tunelu bod-bod bývá adresa klienta jedinou adresou hostitele, protože na druhém konci spoje je přesně jeden protějšek. Neexistuje společný segment ani ARP, takže maska, která by na Ethernetu vypadala absurdně, je zde zcela normální.
Prefix cíle je fakt o kancelářské síti, ne o tunelu. Potřebujete-li jeden server, je trasa trasou hostitele pro tento server. Potřebujete-li celou kancelářskou podsíť, je trasa podsítí. Ani jednu z odpovědí nelze přečíst z rozhraní a vybrat si jednu proto, že se objevila vedle adresy tunelu, je způsob, jak rozbít fungující nastavení.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Třetí řádek je místo, kde se optimismus mění ve výpadek. Směrování celého privátního rozsahu do tunelu, který obsluhuje jediné místo, tlačí nesouvisející provoz na cestu, která ho nedoručí, a výsledné poruchy vypadají jako rozbitá VPN, ne jako příliš široká trasa.
Vyberte prefix z požadavku
Napište požadavek jako větu, než se dotknete profilu: kteří hostitelé musí být dostupní a který nejužší prefix je pokrývá? Jeden server je trasa hostitele. Podsíť je trasa podsítě. Rozsah podsítí je souhrn a souhrn je slib, že každá adresa uvnitř je dostupná, což je málokdy pravda.
Pak číslo porovnejte s tím, co kancelář skutečně používá. Kopírování prefixu z chatové zprávy bez ověření proti plánu adresování daného místa je způsob, jak trasa skončí namířená na podsíť, kterou nikdo nevlastní.
Pamatujte také, že trasa je cesta, ne oprávnění. Brána stále rozhoduje, zda váš klient smí cíl použít, a služba vás stále může odmítnout. Správná instalace trasy dostane paket tam a nic neříká o autorizaci.
Přidávejte do profilu, nikdy ho nenahrazujte
Trasy v profilu NetworkManager jsou vícehodnotová vlastnost a rozdíl mezi nastavením a přidáním je jeden znak. Použijte formu s plusem, abyste přidali položku a zachovali vše již uložené.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Bez plusu přiřazení nahradí celý seznam. V profilu, který už nese několik prefixů, to tiše smaže ty, které fungovaly, a symptom se dostaví později jako služba, která byla dříve z tohoto notebooku dostupná.
Použijte UUID místo názvu. Názvy se po obnovení duplikují a spojení, které upravujete, nemusí být to, které nese váš provoz. Nejprve zkontrolujte, zda už neexistuje stejná položka, protože přidání duplikátu je nepořádné, i když je neškodné.
Tato referenční příručka vlastností tras dokumentuje cíl, volitelný další skok, metriku a syntaxi atributů pro nainstalovanou verzi. Přečtěte si ji, než přidáte další skok, protože zda je potřeba, závisí na integraci a topologii, a hádat to z první adresy ve výpisu rozhraní není metoda.
Výchozí trasa a DNS jsou oddělená rozhodnutí
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Automatické trasy jsou další věc, kterou nemá smysl bezohledně rušit. Potlačení kvůli jedné chybějící položce může odstranit několik fungujících a člověk, který to navrhl, se obvykle díval na jiný profil s jinými pushi.
DNS má svou vlastní cestu i své vlastní poruchy. Jméno, které se přes špatný resolver přeloží na správnou adresu, nebo resolver, který nedokáže odpovědět pro privátní zónu, bude vypadat jako problém směrování, zatímco trasa je bezchybná. Otestujte adresu a jméno odděleně a pak rozhodněte, která vrstva skutečně selhala.
Ověřte, co bylo použito
Uložená změna není použitá změna. Připojte se znovu přes podporovaný životní cyklus správce a poté se podívejte na skutečnou trasu k zamýšlenému cíli a na pravidla zásad, která rozhodují, která tabulka se použije.
Pokud prefix existuje a spojení stále selhává, přesunuli jste se k jinému problému: volba zdrojové adresy, zpětná trasa na vzdáleném konci nebo služba, která vašeho klienta odmítá. Každé z toho je lepší místo k pohledu než profil, který jste už opravili.