Das /32 des Tunnels zu kopieren leitet das Büro-Subnetz nicht weiter

Das VPN verbindet sich, die Schnittstelle zeigt eine Adresse mit einer Zweiunddreißig-Bit-Maske, und der Büroserver bleibt unerreichbar. Der nächste Schritt besteht oft darin, diese Maske in einer Route wiederzuverwenden, in der Annahme, die Schnittstelle beschreibe, was der Tunnel erreichen kann. Das tut sie nicht. Diese Adresse beschreibt das lokale Ende einer Punkt-zu-Punkt-Strecke, und das Ziel, das Sie interessiert, liegt in einem anderen Präfix auf der anderen Seite davon.

Zwei verschiedene Dinge werden verwechselt: die Adresse, die der Tunnel Ihnen gab, und das Netz, das Sie durch ihn erreichen wollen.

Zwei Adressen, zwei Aufgaben

Bei einem Punkt-zu-Punkt-Tunnel ist die Clientadresse oft eine einzelne Hostadresse, weil es am anderen Ende der Strecke genau einen Peer gibt. Es gibt kein gemeinsames Segment und kein ARP, daher ist eine Maske, die auf Ethernet absurd aussähe, hier völlig normal.

Das Zielpräfix ist eine Tatsache über das Büronetz, nicht über den Tunnel. Wenn Sie einen Server brauchen, ist die Route eine Hostroute für diesen Server. Wenn Sie das ganze Büro-Subnetz brauchen, ist die Route das Subnetz. Keine der beiden Antworten lässt sich von der Schnittstelle ablesen, und eine davon zu wählen, weil sie neben der Tunneladresse auftauchte, ist der Weg, ein funktionierendes Setup zu zerstören.

Die dritte Zeile ist die Stelle, an der Optimismus zum Ausfall wird. Ein gesamtes privates Spektrum in einen Tunnel zu leiten, der nur einen Standort bedient, schiebt fremden Verkehr auf einen Weg, der ihn nicht zustellen kann, und die resultierenden Fehler sehen wie ein kaputtes VPN aus, nicht wie eine zu breite Route.

Wählen Sie das Präfix aus der Anforderung

Schreiben Sie die Anforderung als Satz auf, bevor Sie ein Profil anfassen: Welche Hosts müssen erreichbar sein, und was ist das engste Präfix, das sie abdeckt? Ein einzelner Server ist eine Hostroute. Ein Subnetz ist eine Subnetzroute. Ein Bereich von Subnetzen ist eine Zusammenfassung, und eine Zusammenfassung ist ein Versprechen, dass jede Adresse darin erreichbar ist, was selten stimmt.

Prüfen Sie dann die Zahl gegen das, was das Büro tatsächlich verwendet. Ein Präfix aus einer Chatnachricht zu kopieren, ohne es gegen den Adressplan des Standorts zu bestätigen, ist der Weg, bei dem eine Route auf ein Subnetz zeigt, das niemand besitzt.

Denken Sie auch daran, dass eine Route ein Weg ist, keine Berechtigung. Das Gateway entscheidet weiterhin, ob Ihr Client das Ziel nutzen darf, und ein Dienst kann Sie weiterhin abweisen. Die Route korrekt zu installieren bringt das Paket dorthin und beantwortet nichts zur Autorisierung.

Anhängen an das Profil, niemals ersetzen

Routen in einem NetworkManager-Profil sind eine mehrwertige Eigenschaft, und der Unterschied zwischen Setzen und Anhängen ist ein Zeichen. Verwenden Sie die Plusform, um einen Eintrag hinzuzufügen und alles bereits Gespeicherte zu erhalten.

nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
  +ipv4.routes "10.40.20.9/32"

Ohne das Plus ersetzt die Zuweisung die ganze Liste. Bei einem Profil, das bereits mehrere Präfixe trägt, löscht das still die, die funktionierten, und das Symptom kommt später als ein Dienst, der von diesem Laptop aus erreichbar war.

Verwenden Sie die UUID statt des Namens. Namen werden nach Wiederherstellungen dupliziert, und die Verbindung, die Sie bearbeiten, ist möglicherweise nicht die, die Ihren Verkehr trägt. Prüfen Sie zuerst auf einen bereits vorhandenen identischen Eintrag, denn einen Duplikat anzuhängen ist unordentlich, auch wenn es harmlos ist.

Die Referenz zu Routeneigenschaften dokumentiert das Ziel, den optionalen nächsten Hop, die Metrik und die Attributsyntax für die installierte Version. Lesen Sie sie, bevor Sie einen nächsten Hop hinzufügen, denn ob einer nötig ist, hängt von der Integration und der Topologie ab, und das aus der ersten Adresse einer Schnittstellenauflistung zu raten ist keine Methode.

Standardroute und DNS sind getrennte Entscheidungen

Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.

Automatische Routen sind das andere, was man nicht beiläufig stören sollte. Sie zu unterdrücken, um einen fehlenden Eintrag zu lösen, kann mehrere funktionierende entfernen, und wer das vorgeschlagen hat, sah sich meist ein anderes Profil mit anderen Pushes an.

DNS hat seinen eigenen Weg und seine eigenen Fehler. Ein Name, der über den falschen Resolver zur richtigen Adresse aufgelöst wird, oder ein Resolver, der für die private Zone nicht antworten kann, sieht wie ein Routingproblem aus, während die Route perfekt ist. Testen Sie Adresse und Namen getrennt und entscheiden Sie dann, welche Schicht tatsächlich versagt hat.

Prüfen Sie, was angewendet wurde

Eine gespeicherte Änderung ist keine angewendete. Verbinden Sie sich über den unterstützten Lebenszyklus des Managers neu und schauen Sie dann auf die tatsächliche Route zum vorgesehenen Ziel und auf die Richtlinienregeln, die entscheiden, welche Tabelle konsultiert wird.

Wenn das Präfix da ist und die Verbindung weiterhin fehlschlägt, sind Sie zu einem anderen Problem übergegangen: Quelladressauswahl, eine Rückroute am fernen Ende oder ein Dienst, der Ihren Client abweist. Jedes davon ist ein besserer Ort zum Nachsehen als das Profil, das Sie bereits korrigiert haben.