Rhowch lwybr dychwelyd VPN i westeion LAN gydag opsiwn 121 DHCP

Mae cleientiaid VPN o bell yn cysylltu, mae gweinydd y LAN yn ateb, ac mae'r ateb yn gadael drwy'r llwybrydd rhyngrwyd arferol ac yn marw yno. Gellir trwsio un gweinydd â llwybr statig, ond mae llawn is-rwydwaith ohonynt yn well eu trin lle maen nhw eisoes yn cael eu cyfluniad rhwydwaith. Mae opsiwn 121 DHCPv4 yn dosbarthu'r union fath hwnnw o lwybr cyrchfan, a dyma'r rhan y mae pobl fel arfer yn ei chael yn anghywir yr eiliad y maen nhw'n anghofio'r llwybr diofyn. Y symptom yw traffig un ffordd: mae ceisiadau'n cyrraedd ac mae atebion yn diflannu.

Enwch y tri chyfeiriad yn gyntaf

Cymerwch LAN concrit: 192.168.50.0/24 gyda'r llwybrydd diofyn arferol yn 192.168.50.1 a phorth VPN ar wahân yn 192.168.50.2. Mae cleientiaid o bell wedi'u dilysu yn meddiannu 10.90.0.0/24.

Y llwybr sydd ei angen ar bob gwesteiwr sy'n cymryd rhan yw 10.90.0.0/24 via 192.168.50.2. Y gyrchfan yw'r gronfa gleientiaid, a'r naid nesaf yw cyfeiriad LAN y borth, nid ei chyfeiriad tiwnel.

Codwch ef fel llwybr statig di-ddosbarth

Mae opsiwn 121 yn cario parau rhagddodiad a naid nesaf, ac mae RFC 3442 yn diffinio'r codio a'r ymddygiad cleient sy'n dilyn. Ar gyfer achos dnsmasq presennol sy'n gwasanaethu'r LAN enghreifftiol hon yn unig, siâp y cyfluniad yw:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Mae hwn yn ddarn, nid yn wasanaeth DHCP newydd. Ar weinydd sy'n trin sawl segment, cyfyngwch yr opsiwn gyda'r tagiau neu'r polisi rhwydwaith rydych chi'n eu defnyddio'n barod. Cadwch y cyfluniad blaenorol wrth law, oherwydd mae troi hyn yn ôl yn golygu adnewyddiad les arall, nid ailgychwyn.

Peidiwch â cholli'r llwybr diofyn

Dyma'r trap. Rhaid i gleient sy'n derbyn opsiwn 121 anwybyddu'r opsiwn Router arferol, felly gall hysbysebu llwybr cronfa VPN yn unig adael y gwesteiwr hwnnw heb unrhyw lwybr diofyn o gwbl. Mae'r peiriant yn dal i edrych yn gyfluniedig ac yn colli'r rhyngrwyd yn dawel. Mae defnyddwyr yn disgrifio hynny fel bod y rhwydwaith i lawr tra mae pob rhyngwyneb i fyny.

Cynhwyswch y llwybr diofyn arfaethedig yn yr un rhestr, fel y mae'r darn uchod yn ei wneud. Cadwch yr opsiwn Router arferol yn ei le hefyd, ar gyfer cleientiaid nad ydynt yn gweithredu llwybrau di-ddosbarth; y gweinydd ei hun sy'n penderfynu beth a anfonir at bwy.

Gwiriwch beth fydd y cleient yn ei dderbyn

Nid yw gwesteiwr â chyfeiriad â llaw byth yn codi hyn, oherwydd nid yw'n gofyn am les. Mae cymorth cleientiaid yn amrywio hefyd, felly profwch ar y system weithredu rydych chi'n ei defnyddio mewn gwirionedd yn lle tybio bod pob dyfais yn parchu opsiwn 121. Cadarnhewch gyda phwy bynnag sy'n berchen ar y gweinyddion hynny pa rai sydd â chyfeiriad statig. Mae angen eu cofnodion llwybr eu hunain ar y gwesteion hynny neu ni fyddant yn cymryd rhan o gwbl.

Mae gwasanaethau DHCP a reolir yn derfyn arall. Nid yw rhai rhwydweithiau cwmwl yn gadael i weinyddwyr gyhoeddi opsiynau mympwyol, ac mae gweinydd DHCP cystadleuol ar yr un segment yn waeth na dim opsiwn o gwbl.

Gwiriwch y les, yna'r chwiliad

Gofynnwch i berchennog DHCP gymhwyso'r newid, yna adnewyddwch y les ar gleient. Mae lesau presennol yn cadw'r hen gyfluniad nes iddynt gael eu hadnewyddu, felly nid yw canlyniadau ar unwaith yn cael eu gwarantu.

Ar gleient Linux, darllenwch y llwybrau gwirioneddol a chadarnhau'r ddau gofnod:

ip -4 route
ip -4 route get 10.90.0.23

Dylai'r chwiliad cyd-destunol ddangos llwybr y gronfa drwy 192.168.50.2 a'r llwybr diofyn drwy 192.168.50.1. Os yw'r diofyn ar goll, rydych chi wedi atgynhyrchu'r trap uchod.

Yna profwch y cyfnewid go iawn

Nid dosbarthu llwybrau yw'r llwybr cyfan. Mae angen anfon ymlaen, perchnogaeth cymheiriaid o bell a pholisi mynediad sy'n caniatáu'r gweinydd ar y borth ar wahân o hyd, ac nid yw DHCP yn dilysu neb.

Yn olaf, cadwch gynllun tynnu'n ôl. Nid yw llwybr statig a ddysgwyd yn tynnu'n ôl ei hun pan fydd y VPN yn cwympo, felly gall naid nesaf hen ffasiwn droi'r rhagddodiad hwnnw'n dwll du ymhell ar ôl i'r tiwnel ddiflannu.