VPN adaptér zobrazuje /32: neznamená to jediný cíl

Adaptéry zobrazují 255.255.255.255 a závěr bývá takový, že VPN dosáhne právě na jednu adresu. Toto čtení zaměňuje adresu samotného klienta s množinou cílů směrovaných tunelem. Na rozhraní typu bod-bod nebo na směrovaném rozhraní jde o dva různé objekty a dosažitelnost omezuje jen jeden z nich. Mýtus přežívá proto, že maska vypadá jako maska podsítě, kterou se lidé naučili na Ethernetu.

Mýtus: maska hostitele znamená jediného dosažitelného hostitele

Přiřazení /32 sděluje rozhraní, která adresa patří tomuto konci spoje, a na spoji bod-bod to je vše, co znamená. Adresa protějšku je samostatné pole a trasy, které říkají, co leží za protějškem, jsou zase samostatné. V masce nic nepopisuje vzdálenou síť, protože maska není místem, kde se vzdálené sítě popisují. Číst ji jako limit dosažitelnosti je jako číst číslo vlastního domu jako seznam všech adres, které smíte navštívit.

Záměna má skutečný kořen: na Ethernetu by maska hostitele opravdu znamenala jedinou adresu v daném segmentu. Tunel není segment Ethernetu a o tom, co jím projde, rozhoduje směrovací tabulka klienta, nikoli maska. Proto může stejná /32 stát před celým datovým centrem.

Čtěte adresu a trasy jako samostatné objekty

Vypište rozhraní a tabulku společně a pak je čtěte jako dvě odpovědi na dvě otázky. Adresa odpovídá na to, kdo je tento konec; trasy odpovídají na to, kam smí provoz jít. Třetí otázka, které cíle brána povoluje, není na klientovi vůbec vidět. Referenční příručka adres iproute2 popisuje pole místní adresy, protějšku a trasy prefixu odděleně právě z tohoto důvodu.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Ve Windows existuje stejné rozdělení mezi seznamem adres a směrovací tabulkou a příkaz pro vyhledání je nejrychlejší způsob, jak zjistit, která z nich pro konkrétní cíl zvítězí. Pokud vyhledání vrátí tunelové rozhraní, klient tam paket pošle. Pokud vrátí fyzický adaptér, klient se VPN nikdy nezeptá a žádné oprávnění na straně serveru to nezmění. Kontrolujte cíl, který skutečně potřebujete, ne obecnou veřejnou adresu.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Zastavte se, pokud vyhledání ukazuje na špatné rozhraní. To je problém směrování na klientovi a řeší se na klientovi.

Proč rozšíření masky obvykle všechno zhorší

Změna přiřazení na /24, aby to vypadalo jako kancelářská LAN, může vytvořit prefix na spoji: jádro nyní věří, že celá /24 je přímo připojena k tunelovému rozhraní. Provoz pro adresy, které mají jít přes bránu, se pak posílá, jako by soused byl na spoji. Výsledkem je černá díra, která vypadá jako výpadek serveru.

Také skrývá skutečný problém, tedy chybějící trasu nebo chybějící oprávnění na bráně. Ani jedno z toho širší maska nevytváří a obojí změnu přežije. Pokud návrh potřebuje na rozhraní větší prefix, je to rozhodnutí pro použitý model rozhraní a dělá se s dokumentací v ruce. Kopírovat masku ze snímků obrazovky jiného produktu není takové rozhodnutí.

Pokud trasa vzdáleného prefixu chybí, opravte její zajištění. Pokud existuje a spojení je stále odmítáno, maska nikdy nebyla diagnózou.

Když je trasa správná a tok přesto selhává

Správná trasa dokazuje jen to, že klient paket odešle. Brána musí cíl stále přijmout, zpáteční cesta musí pro přiřazenou adresu existovat a služba musí tok povolit. Otestujte tyto tři věci odděleně: vyhledání na klientovi, povolený rozsah brány a požadavek na jeden potřebný server. Úspěšná autentizace dřív, než jsou všechny tři na místě, je normální, a právě proto se připojený klient může nedostat nikam.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Držte síťové objekty a oprávnění skupin u jejich vlastníka ve službě spravované appliance. To, k čemu má klient podle zadání dosáhnout, a to, co smí používat, jsou různá nastavení, často na různých obrazovkách. Změnit jedno a testovat druhé je způsob, jak tiket poskakuje mezi dvěma týmy.

Mýtus, který je třeba opustit, je, že maska je limit dosažitelnosti. Čtěte adresu, trasy a politiku brány jako tři oddělená fakta a /32 přestane vypadat jako omezení a začne vypadat jako běžné přiřazení tunelu.