Γιατί ένα VPN πλήρους σήραγγας κρύβει τα δρομολογημένα τοπικά VLAN σας

Ο διακόπτης «allow local network» σε έναν πελάτη VPN ακούγεται σαν να καλύπτει τα πάντα στο κτίριο. Στην πράξη συνήθως προσθέτει μερικές εξαιρέσεις ιδιωτικών διευθύνσεων στην προεπιλεγμένη διαδρομή της σήραγγας και σταματά εκεί. Το VLAN αποθήκευσης παραμένει προσβάσιμο μόνο αν μια διαδρομή για αυτό το συγκεκριμένο πρόθεμα επιβιώσει από την άφιξη της σήραγγας, και σε πολλούς πελάτες δεν επιβιώνει.

Είναι ζήτημα δρομολόγησης και όχι ρύθμισης VPN, κάτι που είναι καλό νέο: έχει συγκεκριμένη απάντηση.

Τι καλύπτει στην πραγματικότητα το allow-local-network

Οι πελάτες υλοποιούν αυτή την επιλογή διαφορετικά. Μερικοί προσθέτουν διαδρομές για το υποδίκτυο στο οποίο είναι συνδεδεμένο το μηχάνημα, μερικοί προσθέτουν τις περιοχές RFC 1918, και λίγοι εξαιρούν μόνο την προεπιλεγμένη πύλη. Κανείς τους δεν ξέρει ότι το router του γραφείου σας εξυπηρετεί επίσης ένα VLAN αποθήκευσης, ένα τμήμα εργαστηρίου ή ένα υποδίκτυο εκτυπωτών, επειδή αυτά τα προθέματα δεν βρίσκονται στο καλώδιο που βλέπει ο πελάτης. Διαβάστε την τεκμηρίωση του ίδιου του πελάτη για την ακριβή συμπεριφορά αντί να υποθέσετε ότι η ετικέτα περιγράφει την τοπολογία σας.

Η διάκριση έχει τη μεγαλύτερη σημασία σε σχεδίαση πλήρους σήραγγας, όπου ο πελάτης αντικαθιστά σκόπιμα την προεπιλεγμένη διαδρομή ώστε όλη η κίνηση να περνά από το VPN. Αυτό είναι όλο το νόημα της σχεδίασης, και αυτό ακριβώς κάνει τα τοπικά δρομολογημένα δίκτυα να εξαφανίζονται. Ποτέ δεν καλύπτονταν από δική τους διαδρομή· ταξίδευαν πάνω στην προεπιλεγμένη διαδρομή που μόλις αντικαταστάθηκε. Ένας πελάτης δεν μπορεί να δρομολογήσει ό,τι δεν γνωρίζει ότι υπάρχει, και μαθαίνει μόνο προθέματα συνδεδεμένα στη δική του διεπαφή. Όλα τα άλλα πρέπει να τα περιγράψει κάποιος που γνωρίζει την τοπολογία.

Οι συνδεδεμένες διαδρομές σταματούν στο πρώτο router

Ένας σταθμός εργασίας στο 192.168.10.20/24 με πύλη 192.168.10.1 παίρνει αυτόματα συνδεδεμένη διαδρομή για το 192.168.10.0/24. Το VLAN αποθήκευσης στο 192.168.20.0/24 είναι διαφορετικό πρόθεμα, προσβάσιμο μόνο μέσω αυτής της πύλης, και ο σταθμός δεν έχει διαδρομή γι αυτό πέρα από την προεπιλεγμένη. Πριν ανέβει η σήραγγα, η συνηθισμένη προεπιλεγμένη διαδρομή στέλνει τυχαία την κίνηση αποθήκευσης στο 192.168.10.1 και όλα λειτουργούν.

Όταν το VPN εγκαθιστά προεπιλεγμένη διαδρομή πλήρους σήραγγας, τα πακέτα για το 192.168.20.1 ακολουθούν τη νέα προεπιλεγμένη διαδρομή μέσα στη σήραγγα. Η απομακρυσμένη πύλη δεν έχει ιδέα πού ζει αυτό το πρόθεμα, οπότε τα απορρίπτει ή τα προωθεί κάπου άχρηστα. Τίποτα δεν ήταν λάθος ρυθμισμένο στο VLAN αποθήκευσης· η διαδρομή του ήταν δανεική και το δάνειο ανακλήθηκε.

Ο πειρασμός είναι να καταφύγετε σε μια ευρεία εξαίρεση, όπως ένα ζεύγος διαδρομών /1 ή μια δεύτερη προεπιλεγμένη διαδρομή. Αντισταθείτε. Όσο στενότερη είναι η εξαίρεση, τόσο ευκολότερο είναι να την εξηγήσετε, να την ελέγξετε και να την αφαιρέσετε όταν αλλάξει το δίκτυο.

Βάλτε την εξαίρεση στον πίνακα που κερδίζει

Μέσα σε έναν πίνακα δρομολόγησης, ένα /24 κερδίζει ένα /0 ή ένα /1 με τη μεγαλύτερη αντιστοίχιση προθέματος, οπότε μια συγκεκριμένη διαδρομή προς το VLAN αποθήκευσης μέσω της τοπικής πύλης αρκεί, αρκεί ο πίνακας να συμβουλεύεται καθόλου. Στο Linux η συνηθισμένη μορφή είναι σύντομη:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Η δρομολόγηση πολιτικής περιπλέκει αυτή την εγγύηση. Ένας προγενέστερος κανόνας μπορεί να στείλει κίνηση σε πίνακα του οποίου η δική του προεπιλεγμένη διαδρομή δείχνει μέσα στη σήραγγα, και ο κύριος πίνακας που κρατά το /24 σας δεν φτάνεται ποτέ. Ελέγξτε τους κανόνες πριν υποθέσετε ότι η διαδρομή είναι έγκυρη, γιατί μια καταχώριση που φαίνεται σωστή στον λάθος πίνακα εξηγεί μια αποτυχία που μοιάζει με σπασμένη διαδρομή.

Στη συνέχεια κάντε την καταχώριση μόνιμη μέσω του μηχανισμού που υποστηρίζει ο πελάτης ή του διαχειριστή δικτύου που κατέχει τη διεπαφή. Μια διαδρομή που πληκτρολογήθηκε στη γραμμή εντολών εξαφανίζεται στην επόμενη επανασύνδεση, και μια διαδρομή δεμένη σε μία πύλη Wi-Fi δεν μεταφέρεται στο επόμενο δίκτυο που επισκέπτεται ο φορητός υπολογιστής.

Τα ονόματα και η πολιτική δεν ακολουθούν τις διαδρομές

Η διόρθωση της διαδρομής επαναφέρει πακέτα, όχι ονόματα. Αν οι τοπικές συσκευές επιλύονται μέσω ενός επιβεβλημένου resolver που δεν γνωρίζει τίποτα γι αυτές, η προσάρτηση αποτυγχάνει ακόμα κι αν η διεύθυνση είναι προσβάσιμη. Τα τοπικά ονόματα χρειάζονται τοπική ή διαχωρισμένη διάταξη DNS, και αυτό είναι ξεχωριστή απόφαση από την εξαίρεση διαδρομής.

Η πολιτική είναι και πάλι ξεχωριστή. Το φίλτρο τοπικής πρόσβασης ενός πελάτη VPN μπορεί να απαγορεύει σκόπιμα κίνηση προς ιδιωτικές περιοχές, και μια διαδρομή δεν υπερισχύει αυτού του κανόνα. Σε μη αξιόπιστο δίκτυο, μια ιδιωτική διεύθυνση δεν είναι επίσης απόδειξη ότι ο προορισμός είναι ο διακομιστής αποθήκευσής σας, οπότε η εξαίρεση πρέπει να είναι τόσο συγκεκριμένη όσο και η ίδια η διαδρομή.

Ένα συμβόλαιο που μπορείτε να παραδώσετε

Η τελική σχεδίαση πρέπει να διαβάζεται ως σύντομη λίστα: η γενική κίνηση του διαδικτύου ακολουθεί τη σήραγγα, και αυτά τα ονομαστικά τοπικά προθέματα κρατούν τη διαδρομή τους μέσω του τοπικού router. Γράψτε τα προθέματα, το επόμενο άλμα και το επίθημα DNS που τα συνοδεύει, και κρατήστε τη λίστα αρκετά σύντομη ώστε κάποιος να μπορεί να την επαληθεύσει χωρίς να διαβάσει πίνακα δρομολόγησης.

Προσέξτε την επικάλυψη μεταξύ τοπικών και απομακρυσμένων περιοχών. Ένα VLAN αποθήκευσης που μοιράζεται πρόθεμα με κάτι πίσω από το VPN θα επιλυθεί στη διαδρομή που είναι πιο συγκεκριμένη, και η συμπεριφορά που προκύπτει είναι μπερδεμένη με τρόπο που μοιάζει περιοδικός. Η επαναρίθμηση της μίας πλευράς είναι συνήθως φθηνότερη από το να εντοπίζετε την ασάφεια για πάντα.

Δοκιμάστε το συμβόλαιο δύο φορές: μία με τη σήραγγα ενεργή και μία με αυτήν ανενεργή. Αν η τοπική διαδρομή λειτουργεί μόνο σε μία από αυτές τις καταστάσεις, η εξαίρεση δεν είναι ακόμη συμβόλαιο.