Δώστε στους διακομιστές LAN μια διαδρομή επιστροφής VPN με την επιλογή 121 του DHCP

Οι απομακρυσμένοι πελάτες VPN συνδέονται, ο διακομιστής του LAN απαντά και η απάντηση φεύγει από τον συνηθισμένο δρομολογητή του διαδικτύου και πεθαίνει εκεί. Ένας διακομιστής μπορεί να διορθωθεί με στατική διαδρομή, αλλά ένα ολόκληρο υποδίκτυο από αυτούς εξυπηρετείται καλύτερα εκεί όπου ήδη παίρνουν τη διαμόρφωση δικτύου τους. Η επιλογή 121 του DHCPv4 διανέμει ακριβώς αυτό το είδος διαδρομής προορισμού, και είναι το σημείο που συνήθως κάνουν λάθος οι άνθρωποι μόλις ξεχάσουν την προεπιλεγμένη. Το σύμπτωμα είναι κίνηση μονής κατεύθυνσης: τα αιτήματα φτάνουν και οι απαντήσεις εξαφανίζονται.

Ονομάστε πρώτα τις τρεις διευθύνσεις

Πάρτε ένα συγκεκριμένο LAN: 192.168.50.0/24 με τον κανονικό προεπιλεγμένο δρομολογητή στο 192.168.50.1 και μια ξεχωριστή πύλη VPN στο 192.168.50.2. Οι πιστοποιημένοι απομακρυσμένοι πελάτες καταλαμβάνουν το 10.90.0.0/24.

Η διαδρομή που χρειάζεται κάθε διακομιστής που συμμετέχει είναι 10.90.0.0/24 via 192.168.50.2. Ο προορισμός είναι η δεξαμενή πελατών και το επόμενο άλμα είναι η διεύθυνση LAN της πύλης, όχι η διεύθυνσή της στη σήραγγα.

Κωδικοποιήστε τη ως στατική διαδρομή χωρίς κλάσεις

Η επιλογή 121 μεταφέρει ζεύγη προθέματος και επόμενου άλματος, και το RFC 3442 ορίζει και την κωδικοποίηση και τη συμπεριφορά του πελάτη που ακολουθεί. Για ένα υπάρχον στιγμιότυπο dnsmasq που εξυπηρετεί μόνο αυτό το ενδεικτικό LAN, η μορφή της διαμόρφωσης είναι:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Αυτό είναι ένα απόσπασμα, όχι νέα υπηρεσία DHCP. Σε διακομιστή που εξυπηρετεί πολλά τμήματα, περιορίστε την επιλογή με τις ετικέτες ή την πολιτική δικτύου που ήδη χρησιμοποιείτε. Κρατήστε την προηγούμενη διαμόρφωση πρόχειρη, γιατί η επαναφορά σημαίνει άλλη μια ανανέωση μίσθωσης, όχι επανεκκίνηση.

Μην χάσετε την προεπιλεγμένη διαδρομή

Αυτή είναι η παγίδα. Ένας πελάτης που λαμβάνει την επιλογή 121 πρέπει να αγνοεί τη συνηθισμένη επιλογή Router, οπότε η αναγγελία μόνο της διαδρομής της δεξαμενής VPN μπορεί να αφήσει αυτόν τον διακομιστή εντελώς χωρίς προεπιλεγμένη διαδρομή. Το μηχάνημα εξακολουθεί να φαίνεται διαμορφωμένο και χάνει ήσυχα το διαδίκτυο. Οι χρήστες το περιγράφουν ως δίκτυο εκτός λειτουργίας ενώ κάθε διεπαφή είναι ενεργή.

Συμπεριλάβετε την επιθυμητή προεπιλογή στην ίδια λίστα, όπως κάνει το απόσπασμα παραπάνω. Κρατήστε και τη συνηθισμένη επιλογή Router, για πελάτες που δεν υλοποιούν διαδρομές χωρίς κλάσεις; η δική του διαχείριση επιλογών του διακομιστή αποφασίζει τι στέλνεται σε ποιον.

Ελέγξτε τι θα δεχτεί ο πελάτης

Ένας διακομιστής με χειροκίνητη διεύθυνση δεν το πιάνει ποτέ, γιατί δεν ζητά μίσθωση. Η υποστήριξη στους πελάτες ποικίλλει επίσης, γι' αυτό δοκιμάστε στο λειτουργικό σύστημα που πραγματικά τρέχετε αντί να υποθέσετε ότι κάθε συσκευή τιμά την επιλογή 121. Επιβεβαιώστε με όποιον κατέχει αυτούς τους διακομιστές ποιοι έχουν στατική διεύθυνση. Αυτοί οι διακομιστές χρειάζονται τις δικές τους εγγραφές διαδρομής, αλλιώς απλώς δεν θα συμμετάσχουν.

Οι διαχειριζόμενες υπηρεσίες DHCP είναι άλλο ένα όριο. Ορισμένα δίκτυα cloud δεν αφήνουν τους διαχειριστές να δημοσιεύουν αυθαίρετες επιλογές, και ένας ανταγωνιστικός διακομιστής DHCP στο ίδιο τμήμα είναι χειρότερος από την παντελή απουσία επιλογής.

Επαληθεύστε τη μίσθωση και μετά την αναζήτηση

Ζητήστε από τον ιδιοκτήτη του DHCP να εφαρμόσει την αλλαγή και μετά ανανεώστε τη μίσθωση σε έναν πελάτη. Οι υπάρχουσες μισθώσεις κρατούν την παλιά διαμόρφωση μέχρι να ανανεωθούν, οπότε τα άμεσα αποτελέσματα δεν είναι εγγυημένα.

Σε πελάτη Linux, διαβάστε τις πραγματικές διαδρομές και επιβεβαιώστε και τις δύο εγγραφές:

ip -4 route
ip -4 route get 10.90.0.23

Η αναζήτηση με βάση τα συμφραζόμενα θα πρέπει να δείχνει τη διαδρομή της δεξαμενής μέσω 192.168.50.2 και την προεπιλεγμένη μέσω 192.168.50.1. Αν λείπει η προεπιλεγμένη, αναπαράγατε την παγίδα παραπάνω.

Μετά δοκιμάστε την πραγματική ανταλλαγή

Η διανομή διαδρομών δεν είναι ολόκληρη η διαδρομή. Η ξεχωριστή πύλη χρειάζεται ακόμη προώθηση, ιδιοκτησία των απομακρυσμένων ομοτίμων και πολιτική πρόσβασης που να επιτρέπει τον διακομιστή, και το DHCP δεν πιστοποιεί κανέναν.

Τέλος, κρατήστε σχέδιο αφαίρεσης. Μια μαθημένη στατική διαδρομή δεν αποσύρεται μόνη της όταν πέσει το VPN, οπότε ένα ξεπερασμένο επόμενο άλμα μπορεί να κάνει αυτό το πρόθεμα μαύρη τρύπα πολύ καιρό αφού χαθεί η σήραγγα.