VPN a LAN y cartref yn rhannu'r un is-rwydwaith: dilynwch y llwybr yn gyntaf
Mae'r ddau addasydd yn hawlio 192.168.1.0/24 ac un llwybr yn ennill. Dilynwch y rhestr addaswyr, y llwybr buddugol a'r llwybr dychwelyd cyn ailrifo neu feio DNS.
Rydych yn cysylltu â VPN y swyddfa, mae'r eicon yn troi'n wyrdd, mae'r fewnrwyd yn llwytho, ac mae'r argraffydd ddwy fetr i ffwrdd yn stopio ateb. Mae'r gyfran a oedd yn gweithio y bore yma yn dod i ben ar yr un peiriant, ac nid oes unrhyw gofnod yn sôn am argraffydd. Y reddf yw DNS, oherwydd mae enw nad yw'n datrys yn edrych fel enw nad yw'n bodoli, ond yr anerchiad sydd ar fai: mae dau addasydd bellach yn hawlio 192.168.1.0/24 a dim ond un llwybr all ennill y rhagddodiad hwnnw. Dilynwch ef yn y drefn hon a byddwch yn gweld pa addasydd a'i cymerodd cyn i chi newid unrhyw beth.
Dechreuwch gyda'r symptom, nid y tiwnel
Yr arwydd yw cwmpas. Os yw'r fewnrwyd yn gweithio ac mae pob dyfais leol yn methu, mae'r tiwnel yn iach a'r llwybr lleol heb fod. Os yw dyfeisiau lleol yn gweithio ac mae'r fewnrwyd yn methu, i'r gwrthwyneb. Os yw popeth yn gweithio ac eithrio un gwesteiwr, rydych yn edrych ar un anerchiad sy'n bodoli ar y ddwy ochr.
Nodwch un anerchiad lleol ac un anerchiad pell cyn cyffwrdd â gosodiad. Nid yw “yr argraffydd” yn brawfadwy; mae 192.168.1.40 yn brawfadwy. Mae'r un cam hwnnw'n atal yr awr wastraffus mwyaf cyffredin ar y broblem hon, sef ailysgrifennu gosodiadau DNS ar gyfer penderfyniad llwybro.
Cam 1: gwelwch y ddau addasydd sy'n hawlio'r rhagddodiad
Agorwch Gysylltiadau Rhwydwaith (ncpa.cpl) a darllenwch y ddau addasydd ochr yn ochr. Mae'r addasydd Ethernet yn dangos 192.168.1.50/24 gyda phorth 192.168.1.1. Mae'r addasydd VPN yn dangos 192.168.1.201/24, wedi'i wthio gan y gweinydd. Mae'r ddau'n ddilys, mae'r ddau'n credu bod y rhagddodiad yn on-link, a bydd y stac yn cadw un llwybr ar ei gyfer.
Mae Get-NetIPAddress -AddressFamily IPv4 yn rhestru'r anerchiadau, ac mae Get-NetIPInterface | Sort-Object InterfaceMetric yn dangos y drefn y bydd y stac yn eu defnyddio. Y golofn fetrig honno yw'r penderfyniad rydych ar fin ei ddarllen, felly nodwch y rhifau yn hytrach na'u cofio.
Profwch fod y ddamcaniaeth DNS yn anghywir yn rhad: mae Resolve-DnsName printer.office.lan yn dychwelyd yr un anerchiad ag a ddychwelodd ddoe. Datryswyd yr enw; yna gadawodd y pecyn drwy'r addasydd anghywir. Mae dwy funud yma'n arbed prynhawn mewn gosodiadau datryswr.
Cam 2: darllenwch y llwybr a enillodd mewn gwirionedd
Mae Find-NetRoute -RemoteIPAddress 192.168.1.40 yn argraffu'r rhyngwyneb, y naid nesaf a'r ffynhonnell y byddai'r stac yn eu defnyddio ar gyfer yr anerchiad hwnnw. Triniwch yr allbwn hwnnw fel yr ateb, nid fel awgrym. Mae route print -4 yn rhoi'r tabl cyfan pan fyddwch am weld pa gofnod a gollodd a faint.
Mae penodoldeb yn curo bwriad. Mae 192.168.0.0/25 a wthir yn trechu 192.168.0.0/24 lleol oherwydd bod y rhagddodiad yn hirach, felly mae 192.168.0.0 i 192.168.0.127 yn gadael drwy'r tiwnel tra bo'r hanner uchaf yn aros yn lleol. Mae hanner LAN yn diflannu heb neges gwall yn ymddygiad cywir ar gyfer y tabl hwnnw.
Mae tracert -d 192.168.1.40 yn cadarnhau hynny o'r tu allan i'r tabl: os yw'r naid gyntaf yn anerchiad tiwnel yn lle eich llwybrydd eich hun, y llwybr yw'r stori gyfan. Ar Linux yr un cwestiwn yw ip route get 192.168.1.40, sy'n argraffu anerchiad ffynhonnell a dyfais ar un llinell. Pan fydd yr ateb yn enwi tun0, stopiwch edrych ar y porwr.
Cam 3: gwiriwch y llwybr dychwelyd cyn beio'r cleient
Mae llwybr ymlaen cywir yn dal i fethu os na all yr ochr bell ateb. Pan gyrhaeddir LAN cleient drwy'r tiwnel, rhaid i borth y LAN honno wybod ble mae cronfa'r tiwnel yn byw: ip route add 10.8.0.0/24 via 192.168.1.12 ar y llwybrydd hwnnw, a push “route 192.168.1.0 255.255.255.0” o'r gweinydd fel bod cleientiaid yn gwybod y llwybr dychwelyd.
Heb y cofnod cyntaf mae'r ateb yn gadael y targed i'w lwybr rhagosodedig, sy'n anfon anerchiad preifat at y darparwr ac yn ei ollwng. Mae'r symptom yn unffordd ac yn hawdd ei ddarllen yn anghywir: mae ceisiadau'n ymddangos ar tun0, nid yw atebion byth.
Mae rheol masquerade ar y gwesteiwr VPN yn dileu'r angen am y llwybr statig hwnnw: iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE. Mae hefyd yn cuddio'r anerchiadau ffynhonnell go iawn, sy'n gwneud pob cwestiwn log diweddarach yn anoddach. Mae gwesteiwr targed â'r porth rhagosodedig anghywir yn cynhyrchu'r un distawrwydd, gydag ailgyfeiriad ICMP yn achos gorau a thwll du yn un arferol, a dyna pam mae'r dal yn perthyn i'r ddau ben.
Cam 4: dewiswch atgyweiriad y gallwch fyw ag ef
Defnyddir pum atgyweiriad ar gyfer hyn, ac nid ydynt yn gyfnewidiol. Dewiswch yn ôl yr hyn sy'n rhaid aros yn gyrraeddadwy ar yr un pryd, nid yn ôl pa orchymyn sy'n fyrraf.
| Repair | What it fixes | What it costs |
|---|---|---|
| Flip interface metrics | Alternating access: office now, home later, never both | Get-NetAdapter -Name "Ethernet 2" | Set-NetIPInterface -InterfaceMetric 21; set the VPN adapter back to 5000. A client that rewrites metrics on connect defeats it |
| Renumber one side | Every host reachable in both directions | DHCP reservations, printer queues, firewall rules and hard-coded addresses all move |
| Narrow the advertised prefix | Remote hosts really live in the upper half | Breaks the day someone adds a host below the cut |
| Translate with client-nat | Both address plans stay untouched | Stateless per-client mapping, unreadable logs, anything embedding addresses breaks |
| Publish one service with DNAT | One service on the VPN host reachable from the LAN | Both address plans stay; source addresses and reverse lookups stop being meaningful |
Metrigau yw'r opsiwn rhad a'r un y mae pobl yn ei gyrraedd gyntaf. Mae'r newid yn berthnasol i'r rhyngwyneb, felly mae'n gweithio tra bo'r tiwnel i fyny, ac mae'n perthyn mewn sgript wrth ymyl y cleient yn hytrach nag mewn cragen y byddwch yn ei hanghofio. Ni all roi mynediad ar yr un pryd i'r un anerchiad ar ddwy rwydwaith, a dyna'r terfyn sy'n anfon pawb arall i lawr y tabl.
Ailrifo'r LAN gartref i 10.10.0.0/24 yw'r atgyweiriad glân: un adnewyddiad prydles DHCP ynghyd â'r neilltuadau, ciwiau argraffu a'r anerchiadau caledgodedig sy'n sôn am yr hen ystod. Nid yw ailrifo ochr y swyddfa fel arfer yn eich penderfyniad. Mae IPv6 yn dileu'r gwrthdaro'n gyfan gwbl pan fo'r ddwy rwydwaith yn ei gario, gan ddefnyddio rhagddodiad lleol unigryw o fd00::/8 yn lle rhywbeth cofiadwy, ond profwch y rhaglen dros TCP, nid ping, oherwydd gall ICMP weithio tra nad yw'r gwasanaeth.
Opsiwn cyfieithu OpenVPN ei hun yw'r dewis olaf, wedi'i wthio o'r gweinydd i gofnod cyfeiriadur sy'n benodol i'r cleient. Mae'n cymryd pedwar paramedr ar ôl enw'r opsiwn — cyfeiriad, rhwydwaith, netmask ac alias — ac nid yw'r alias yn ddewisol: push "route 192.168.2.0 255.255.255.0" a push "client-nat dnat 192.168.2.0 255.255.255.0 192.168.1.0". Y rhwydwaith a'r netmask yw'r ystod y mae'r cleient yn ei gweld (192.168.2.0/24), yr alias yw gwir ystod y swyddfa ar ochr y gweinydd (192.168.1.0/24), a'r llwybr a wthir sy'n gwneud yr ystod weladwy honno'n gyrraeddadwy. Yna mae'r swyddfa'n ymddangos i'r cleient hwnnw o dan 192.168.2.x. Dogfennwch y mapio yn y proffil, neu bydd y person nesaf yn ei ddadfygio fel nam llwybro.
Cyhoeddi un gwasanaeth yw fersiwn gul y cyfieithu, ac nid oes angen opsiwn OpenVPN arno o gwbl. Mae rheol DNAT ar y gwesteiwr VPN yn ailedrych ar un porth, felly mae'r LAN yn cadw ei hanerchiadau ac yn cyrraedd y gwasanaeth yn yr anerchiad gwesteiwr y mae'n ei adnabod yn barod. Y gost yw'r un arferol: mae'r gwasanaeth yn gweld y gwesteiwr VPN fel ffynhonnell, felly mae logiau fesul cleient a chwiliadau gwrthdro yn peidio â golygu unrhyw beth. Mae hynny'n cwmpasu un ciw argraffu neu un dudalen weinyddol, nid gwesteiwyr ar y ddwy ochr yn cyrraedd ei gilydd.
Beth na fydd yn gweithio o hyd, a beth i'w gofnodi
Nid yw darllediad yn croesi tiwnel wedi'i lwybro. Mae DLNA, UPnP, pori NetBIOS a Wake-on-LAN yn dibynnu ar ddarllediad neu multicast nad yw dyfais tun yn ei gario, felly nid oes llwybr yn trwsio darganfod. Mae pontio â dev tap yn ymestyn y segment, a chyda hynny ddarllediadau DHCP, ARP a phob pecyn darganfod arall; dewiswch lwybr gwesteiwr uncast fel route 192.168.2.1 255.255.255.255 ar gyfer anerchiad ochr LAN llwybrydd pell.
Mae dau lwybrydd sy'n defnyddio 192.168.1.1 ar yr un llwybr yn perthyn i'r un teulu o broblem: mae'r anerchiad lleol bob amser yn ennill, felly mae tudalen y llwybrydd pell yn aros yn anghyrraeddadwy nes bod un LAN yn symud. Nid yw ychwanegu ail addasydd yn newid dim yn y naill achos na'r llall.
Cofnodwch y dystiolaeth cyn i chi olygu unrhyw beth: ip route get neu Find-NetRoute, ping -c 3 i'r anerchiad dan sylw, traceroute, a tcpdump -ni tun0 icmp ar y cleient, yna'r tabl llwybro a chyfrifwyr NAT ar y gweinydd. Mae ping sy'n gweithio un ffordd ac yn marw'r ffordd arall yn cyfeirio at y llwybr dychwelyd, nid at y tiwnel, a'r un gwahaniaeth hwnnw sy'n penderfynu pa un o'r atgyweiriadau uchod sydd ei angen arnoch mewn gwirionedd.