Mae addasydd VPN yn dangos /32: nid yw’n golygu un gyrchfan

Mae addasyddion yn dangos 255.255.255.255, a’r casgliad yn aml yw bod y VPN yn cyrraedd un cyfeiriad yn union. Mae’r darlleniad hwnnw’n cymysgu cyfeiriad y cleient ei hun â’r set o gyrchfannau a lwybrir trwy’r twnnel. Ar ryngwyneb pwynt-i-bwynt neu rwyngwyneb â llwybrau, mae’r ddau yn wrthrychau gwahanol, a dim ond un ohonynt sy’n cyfyngu ar gyrhaeddiad. Mae’r myth yn parhau oherwydd bod y mwgwd yn edrych fel y mwgwd is-rwydwaith a ddysgodd pobl ar Ethernet.

Y myth: mae mwgwd gwesteiwr yn golygu un gwesteiwr y gellir ei gyrraedd

Mae aseiniad /32 yn dweud wrth y rhyngwyneb pa gyfeiriad sy’n perthyn i’r pen hwn o’r ddolen, ac ar ddolen pwynt-i-bwynt dyna’r cyfan y mae’n ei olygu. Mae cyfeiriad y cymar yn faes ar wahân, ac mae’r llwybrau sy’n dweud beth sydd y tu hwnt i’r cymar yn annibynnol eto. Nid oes dim yn y mwgwd yn disgrifio’r rhwydwaith pell, oherwydd nid y mwgwd yw’r lle y disgrifir rhwydweithiau pell. Mae ei ddarllen fel terfyn cyrhaeddiad fel darllen rhif eich tŷ eich hun fel rhestr o bob cyfeiriad y cewch ymweld ag ef.

Mae gan y dryswch wreiddyn go iawn: ar Ethernet, byddai mwgwd gwesteiwr yn golygu un cyfeiriad yn wir ar y segment hwnnw. Nid yw twnnel yn segment Ethernet, a’r tabl llwybro yn y cleient, nid y mwgwd, sy’n penderfynu beth sy’n mynd trwyddo. Dyna pam y gall yr un /32 sefyll o flaen canolfan ddata gyfan.

Darllenwch y cyfeiriad a’r llwybrau fel gwrthrychau ar wahân

Argraffwch y rhyngwyneb a’r tabl gyda’i gilydd, yna eu darllen fel dau ateb i ddau gwestiwn. Mae’r cyfeiriad yn ateb pwy yw’r pen hwn; mae’r llwybrau yn ateb i ble y caiff y traffig fynd. Nid yw trydydd cwestiwn, sef pa gyrchfannau y mae’r porth yn eu caniatáu, i’w weld o gwbl ar y cleient. Mae cyfeirlyfr cyfeiriadau iproute2 yn disgrifio’r meysydd cyfeiriad lleol, cymar a llwybr rhagddodiad ar wahân am yr union reswm hwn.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Ar Windows mae’r un gwahaniad rhwng y rhestr cyfeiriadau a’r tabl llwybro, a’r gorchymyn chwilio yw’r ffordd gyflymaf i weld pa un sy’n ennill ar gyfer cyrchfan benodol. Os yw’r chwilio’n dychwelyd y rhyngwyneb twnnel, bydd y cleient yn anfon y pecyn yno. Os yw’n dychwelyd yr addasydd corfforol, nid yw’r cleient byth yn gofyn i’r VPN, ac ni fydd unrhyw ganiatâd ar ochr y gweinydd yn newid hynny. Gwiriwch y gyrchfan sydd ei hangen arnoch mewn gwirionedd, nid cyfeiriad cyhoeddus cyffredinol.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Stopiwch os yw’r chwilio’n pwyntio at y rhyngwyneb anghywir. Mae hon yn broblem llwybro yn y cleient, ac fe’i trwsir ar y cleient.

Pam mae lledu’r mwgwd fel arfer yn gwneud pethau’n waeth

Gall newid yr aseiniad i /24 er mwyn edrych fel LAN y swyddfa greu rhagddodiad ar y ddolen: mae’r cnewyllyn nawr yn credu bod y /24 gyfan ynghlwm yn uniongyrchol wrth ryngwyneb y twnnel. Yna anfonir traffig ar gyfer cyfeiriadau y dylid eu llwybro trwy’r porth fel petai cymydog ar y ddolen. Y canlyniad yw twll du sy’n edrych fel methiant gweinydd.

Mae hefyd yn cuddio’r gwir broblem, sef llwybr ar goll neu ganiatâd ar goll ar y porth. Nid yw mwgwd lletach yn creu’r naill na’r llall, ac mae’r ddau yn goroesi’r newid. Os oes angen rhagddodiad mwy ar y rhyngwyneb, penderfyniad i’r model rhyngwyneb a ddefnyddir yw hwnnw, wedi’i wneud gyda’r dogfennau wrth law. Nid yw copïo mwgwd o sgrinluniau cynnyrch arall yn y penderfyniad hwnnw.

Os yw llwybr y rhagddodiad pell ar goll, trwsiwch ei ddarpariaeth. Os yw’n bresennol ac mae’r cysylltiad yn dal i gael ei wrthod, nid y mwgwd oedd y diagnosis byth.

Pan mae’r llwybr yn iawn a’r llif yn dal i fethu

Mae llwybr cywir yn profi’n unig y bydd y cleient yn anfon y pecyn. Rhaid i’r porth dderbyn y gyrchfan o hyd, rhaid i’r llwybr dychwelyd fodoli ar gyfer y cyfeiriad a neilltuwyd, a rhaid i’r gwasanaeth ganiatáu’r llif. Profwch y tri hyn ar wahân: y chwilio ar y cleient, cwmpas a ganiateir y porth, a chais at un gweinydd sydd ei angen. Mae dilysu’n llwyddo cyn bod y tri yn eu lle yn normal, a dyna pam y gall cleient cysylltiedig gyrraedd dim byd.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Cadwch wrthrychau rhwydwaith a chaniatadau grwp gyda’u perchennog ar wasanaeth a reolir gan beiriant. Mae’r hyn y dywedir wrth y cleient am ei gyrraedd a’r hyn y caiff ei ddefnyddio yn wahanol osodiadau, yn aml ar wahanol sgriniau. Newid un a phrofi’r llall yw’r ffordd mae tocyn yn bownsio rhwng dau dîm.

Y myth i’w ymddeol yw bod y mwgwd yn derfyn cyrhaeddiad. Darllenwch y cyfeiriad, y llwybrau a pholisi’r porth fel tri ffaith ar wahân, ac mae /32 yn peidio â bod yn gyfyngiad ac yn dechrau ymddangos fel aseiniad twnnel arferol.