Αυτή η διεύθυνση L2TP είναι IPCP, όχι μίσθωση DHCP στο LAN

Η σύνδεση ανεβαίνει και ο προσαρμογέας δείχνει μια διεύθυνση στο εύρος του γραφείου, οπότε το φυσικό συμπέρασμα είναι ότι το VPN σάς έδωσε διεύθυνση LAN και επομένως σάς έβαλε στο LAN. Κανένα από τα δύο μισά δεν είναι αρκετά σωστό. L2TP μεταφέρει συνεδρία PPP, και το PPP διαπραγματεύεται την εσωτερική διεύθυνση IPv4 με το IPCP. Η διεύθυνση αυτή είναι παράμετρος συνεδρίας που συμφωνείται μεταξύ δύο ομοτίμων, όχι μίσθωση που εκδίδει ο διακομιστής DHCP του γραφείου, και η κατοχή της δεν σάς κάνει γείτονα στο καλώδιο του γραφείου.

Δύο διευθύνσεις σε μία σύνδεση

Υπάρχουν δύο ανεξάρτητες διαπραγματεύσεις σε μια σύνδεση L2TP. Η εξωτερική δημιουργεί μια προστατευμένη διαδρομή ανάμεσα στη συσκευή σας και το τελικό σημείο του VPN πάνω από όποιο δίκτυο έχετε ήδη. Η εσωτερική είναι η συνεδρία PPP, και εκεί συμφωνούνται η διεύθυνση της συνεδρίας σας και η διεύθυνση του αντισυμβαλλομένου. Η κίνηση του διαδικτύου μπορεί να βγει κάτω από μια τρίτη διεύθυνση εντελώς, τη δημόσια διεύθυνση του τελικού σημείου, γι’ αυτό μια σελίδα ελέγχου VPN και η διεύθυνση του προσαρμογέα σπάνια ταιριάζουν.

Ο διαχωρισμός αυτών των τριών ρόλων απαντά στις περισσότερες ερωτήσεις που φέρνουν οι άνθρωποι σε αυτό το επίπεδο. Ένας ιδιωτικός αριθμός στη διεπαφή VPN είναι φυσιολογικός και αναμενόμενος. Δεν λέει τίποτα για το αν το τελικό σημείο άλλαξε τη δημόσια έξοδό σας, και δεν αποφασίζει από μόνος του ποιους προορισμούς φτάνει η κίνησή σας.

Τι κάνει ακριβώς το IPCP

Το IPCP είναι το πρωτόκολλο ελέγχου IPv4 για το PPP. Κάθε πλευρά στέλνει μηνύματα Configure-Request που περιγράφουν τις επιλογές που θέλει, και η επιλογή διεύθυνσης είναι μία από αυτές. Ένας πελάτης που δεν έχει ακόμη διεύθυνση ρωτά συνήθως με 0.0.0.0, και ο διακομιστής απαντά με Configure-Nak που μεταφέρει τη διεύθυνση που θέλει να χρησιμοποιήσει ο πελάτης. Έπειτα ο πελάτης ζητά αυτή τη διεύθυνση, και η συνεδρία ανεβαίνει με τοπική και απομακρυσμένη διεύθυνση.

Αυτή η ανταλλαγή τεκμηριώνεται στις προδιαγραφές PPP και IPCP, και εξηγεί μια λεπτομέρεια που μοιάζει με σφάλμα: η διεύθυνση επιλέγεται από τον διακομιστή με βάση τη δική του πολιτική, που μπορεί να είναι μια δεξαμενή, μια ρύθμιση ανά χρήστη ή μια διεύθυνση δεμένη με την πιστοποιημένη ταυτότητα. Όταν η δεξαμενή εξαντληθεί ή η πολιτική συγκρουστεί με το αίτημα, η πιστοποίηση μπορεί να πετύχει ενώ η διαπραγμάτευση διεύθυνσης αποτυγχάνει, και ο πελάτης αναφέρει σύνδεση που δεν σταθεροποιείται ποτέ.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Μια γραμμή αρχείου καταγραφής του pppd που ονομάζει τοπική και απομακρυσμένη διεύθυνση είναι το επιτυχές τέλος αυτής της διαπραγμάτευσης. Η απουσία της, δίπλα σε επιτυχή πιστοποίηση, δείχνει το στάδιο της διεύθυνσης και όχι τα διαπιστευτήρια.

Γιατί το LAN δεν μπορεί να σας απαντήσει

Μια διεύθυνση από το εύρος της απέναντι πλευράς δημιουργεί την προσδοκία ότι οι υπολογιστές σε εκείνο το LAN μπορούν να σας φτάσουν, και ως επί το πλείστον δεν μπορούν, εκτός αν ο διακομιστής δρομολογεί τη διεύθυνση της συνεδρίας σας πίσω στη σήραγγα. Το να βρίσκεστε μέσα σε μια δεξαμενή είναι δήλωση για την εκχώρηση, όχι για την τοπολογία. Ο διακομιστής αρχείων του γραφείου δεν έχει διαδρομή προς τη διεύθυνση της συνεδρίας σας εκτός αν ο διακομιστής VPN την προωθεί, και μπορεί να μην επιτρέπεται ακόμη και αν το κάνει.

Γι’ αυτό και τα επικαλυπτόμενα εύρη προκαλούν προβλήματα δυσανάλογα με το φαινομενικό τους μέγεθος. Αν η δεξαμενή επικαλύπτεται με ένα LAN που ο πελάτης χρησιμοποιεί ήδη, ο πίνακας δρομολόγησης του πελάτη έχει τώρα δύο αξιώσεις στο ίδιο πρόθεμα, και η λάθος κερδίζει συχνά για λόγους που δεν έχουν καμία σχέση με τη σήραγγα.

Ελέγξτε τη συνεδρία και μετά τη διαδρομή

Ελέγξτε πρώτα τη διεπαφή, μετά τις διαδρομές, μετά έναν προορισμό που έχει σημασία. Κάθε βήμα έχει τον δικό του τρόπο αποτυχίας, και το να δοκιμάσετε και τα τρία μαζί παράγει ένα συμπέρασμα που δεν θα μπορείτε να υπερασπιστείτε αργότερα.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Αν ο δημόσιος έλεγχος δείχνει τη διεύθυνση του τελικού σημείου ενώ ένας ιδιωτικός προορισμός λήγει σε χρονικό όριο, η σήραγγα μεταφέρει την προεπιλεγμένη διαδρομή σας και η απέναντι πλευρά δεν απαντά για αυτόν τον προορισμό. Αν ο ιδιωτικός προορισμός απαντά αλλά ο δημόσιος έλεγχος δεν αλλάζει, το προφίλ κάνει διαχωρισμένη σήραγγα και μόνο μέρος της κίνησης χρησιμοποιεί τη συνεδρία.

Κρατήστε τα τρία στάδια χωριστά

Η πιστοποίηση, η διαπραγμάτευση διεύθυνσης και η προώθηση αποτυγχάνουν διαφορετικά, και το καθένα έχει διαφορετικό ιδιοκτήτη. Τα διαπιστευτήρια είναι πρόβλημα ταυτότητας, η εξάντληση του IPCP είναι πρόβλημα πολιτικής διακομιστή, και μια διαδρομή επιστροφής που λείπει είναι πρόβλημα σχεδίασης δικτύου. Το να αναφέρετε και τα τρία ως “το VPN είναι χαλασμένο” εγγυάται αργή διόρθωση.

Καταγράψτε τη διεύθυνση που εκχωρήθηκε, τη δεξαμενή από την οποία ήρθε και αν το LAN υποτίθεται ότι τη φτάνει. Αυτή η μία σημείωση εμποδίζει τον επόμενο άνθρωπο να υποθέσει μίσθωση DHCP και να ψάξει για ένα εύρος που δεν ενεπλάκη ποτέ.