Pam mae VPN twnnel llawn yn cuddio eich VLANau lleol a lwybrwyd

Mae swits “allow local network” mewn cleient VPN yn swnio fel petai'n cwmpasu popeth yn yr adeilad. Yn ymarferol, fel arfer mae'n ychwanegu ychydig o eithriadau cyfeiriadau preifat at lwybr diofyn y twnnel ac yn stopio yno. Dim ond os yw llwybr ar gyfer y rhagddodiad penodol hwnnw'n goroesi dyfodiad y twnnel y mae eich VLAN storio yn parhau i fod yn gyraeddadwy, ac mewn llawer o gleientiaid nid yw'n gwneud hynny.

Cwestiwn llwybro yw hwn yn hytrach na gosodiad VPN, sy'n newyddion da: mae ganddo ateb pendant.

Beth mae allow-local-network yn ei gwmpasu mewn gwirionedd

Mae cleientiaid yn gweithredu'r opsiwn hwnnw'n wahanol. Mae rhai'n ychwanegu llwybrau ar gyfer yr is-rwydwaith y mae'r peiriant ynghlwm wrthi, mae rhai'n ychwanegu'r ystodau RFC 1918, ac mae ychydig yn eithrio'r giât ddiofyn yn unig. Nid oes yr un ohonynt yn gwybod bod eich llwybrydd swyddfa hefyd yn gwasanaethu VLAN storio, segment labordy, neu is-rwydwaith argraffwyr, oherwydd nid yw'r rhagddodiaid hynny ar y wifren y gall y cleient ei gweld. Darllenwch ddogfennaeth y cleient ei hun am yr ymddygiad union yn lle tybio bod y label yn disgrifio eich topoleg.

Mae'r gwahaniaeth yn bwysicaf mewn dyluniad twnnel llawn, lle mae'r cleient yn disodli'r llwybr diofyn yn fwriadol fel bod yr holl draffig yn mynd trwy'r VPN. Dyna holl bwynt y dyluniad, a dyna hefyd sy'n gwneud i'r rhwydweithiau lleol a lwybrwyd ddiflannu. Nid oeddent erioed wedi eu cwmpasu gan lwybr eu hunain; roeddent yn marchogaeth ar y llwybr diofyn sydd newydd ei ddisodli. Ni all cleient lwybro'r hyn nad yw'n gwybod ei fod yn bodoli, a dim ond am ragddodiaid sydd ynghlwm wrth ei ryngwyneb ei hun y mae'n dysgu. Mae'n rhaid i rywun sy'n gwybod y topoleg ddisgrifio popeth arall.

Mae llwybrau cysylltiedig yn stopio ar y llwybrydd cyntaf

Mae gorsaf waith ar 192.168.10.20/24 gyda giât 192.168.10.1 yn cael llwybr cysylltiedig ar gyfer 192.168.10.0/24 yn awtomatig. Mae'r VLAN storio ar 192.168.20.0/24 yn rhagddodiad gwahanol, yn gyraeddadwy dim ond trwy'r giât honno, ac nid oes gan yr orsaf waith lwybr ar ei gyfer y tu hwnt i'r diofyn. Cyn i'r twnnel godi, mae'r llwybr diofyn arferol yn anfon traffig storio i 192.168.10.1 trwy ddamwain ac mae popeth yn gweithio.

Pan fydd y VPN yn gosod llwybr diofyn twnnel llawn, mae pecynnau ar gyfer 192.168.20.1 yn dilyn y llwybr diofyn newydd i mewn i'r twnnel. Nid oes gan y giât bell unrhyw syniad ble mae'r rhagddodiad hwnnw'n byw, felly mae'n eu gollwng neu'n eu hanfon ymlaen i rywle diwerth. Nid oedd dim wedi'i gamffurfweddu ar y VLAN storio; roedd ei lwybr wedi'i fenthyca, ac mae'r benthyciad wedi'i alw i mewn.

Y temtasiwn yw estyn am eithriad eang fel pâr o lwybrau /1 neu ail lwybr diofyn. Gwrthwynebwch hynny. Po gulaf yr eithriad, yna hawsaf yw ei esbonio, ei archwilio a'i ddileu pan fydd y rhwydwaith yn newid.

Rhowch yr eithriad yn y tabl sy'n ennill

O fewn un tabl llwybro, mae /24 yn curo /0 neu /1 drwy'r paru rhagddodiad hiraf, felly mae llwybr penodol i'r VLAN storio trwy'r giât leol yn ddigon, ar yr amod bod y tabl yn cael ei ymgynghori o gwbl. Ar Linux mae'r ffurf arferol yn fyr:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Mae llwybro polisi yn cymhlethu'r warant honno. Gall rheol gynharach anfon traffig i dabl y mae ei lwybr diofyn ei hun yn pwyntio i mewn i'r twnnel, ac yna ni chyrhaeddir byth y prif dabl sy'n dal eich /24. Gwiriwch y rheolau cyn tybio bod y llwybr yn awdurdodol, oherwydd mae cofnod sy'n edrych yn gywir yn y tabl anghywir yn egluro methiant sy'n edrych fel llwybr wedi torri.

Yna gwnewch y cofnod yn barhaus trwy'r mecanwaith a gefnogir gan y cleient neu'r rheolwr rhwydwaith sy'n berchen ar y rhyngwyneb. Mae llwybr a deipiwyd yn y prompt yn diflannu ar yr ailgysylltiad nesaf, ac nid yw llwybr sydd ynghlwm wrth un giât Wi-Fi yn gludadwy i'r rhwydwaith nesaf y bydd y gliniadur yn ymweld ag ef.

Nid yw enwau a pholisi yn dilyn llwybrau

Mae trwsio'r llwybr yn adfer pecynnau, nid enwau. Os yw dyfeisiau lleol yn cael eu datrys trwy ddatryswr a wthiwyd nad yw'n gwybod dim amdanynt, mae'r mownt yn dal i fethu hyd yn oed os yw'r cyfeiriad yn gyraeddadwy. Mae angen trefniant DNS lleol neu rannol ar enwau lleol, ac mae hynny'n benderfyniad ar wahân i'r eithriad llwybr.

Mae polisi ar wahân eto. Gall hidlydd mynediad lleol cleient VPN wahardd traffig i ystodau preifat yn fwriadol, ac nid yw llwybr yn diystyru'r rheol honno. Ar rwydwaith annibynadwy, nid yw cyfeiriad preifat ychwaith yn brawf mai eich gweinydd storio chi yw'r cyrchfan, felly dylai'r eithriad fod mor benodol â'r llwybr ei hun.

Contract y gallwch ei drosglwyddo

Dylai'r dyluniad gorffenedig ddarllen fel rhestr fer: mae traffig rhyngrwyd cyffredinol yn dilyn y twnnel, ac mae'r rhagddodiaid lleol a enwir hyn yn cadw eu llwybr trwy'r llwybrydd lleol. Ysgrifennwch y rhagddodiaid, y naid nesaf, a'r ôl-ddodiad DNS sy'n mynd gyda nhw, a chadwch y rhestr yn ddigon byr i rywun allu ei gwirio heb ddarllen tabl llwybro.

Gwyliwch am orgyffwrdd rhwng ystodau lleol a phell. Bydd VLAN storio sy'n rhannu rhagddodiad â rhywbeth y tu ôl i'r VPN yn datrys i ba lwybr bynnag sy'n fwy penodol, ac mae'r ymddygiad canlyniadol yn ddryslyd mewn ffordd sy'n edrych yn ysbeidiol. Mae ailanrifo un ochr fel arfer yn rhatach na dadfygio'r amwysedd am byth.

Profwch y contract ddwywaith: unwaith gyda'r twnnel i fyny ac unwaith gydag ef i lawr. Os mai dim ond yn un o'r cyflyrau hynny y mae'r llwybr lleol yn gweithio, nid yw'r eithriad yn gontract eto.