Η αντιγραφή του /32 της σήραγγας δεν δρομολογεί το υποδίκτυο του γραφείου

Το VPN συνδέεται, η διεπαφή δείχνει μια διεύθυνση με μάσκα τριάντα δύο bit, και ο διακομιστής του γραφείου παραμένει μη προσπελάσιμος. Η επόμενη κίνηση είναι συχνά να ξαναχρησιμοποιηθεί αυτή η μάσκα σε μια διαδρομή, με τη θεωρία ότι η διεπαφή περιγράφει τι μπορεί να φτάσει η σήραγγα. Δεν το κάνει. Αυτή η διεύθυνση περιγράφει το τοπικό άκρο μιας ζεύξης σημείου προς σημείο, και ο προορισμός που σας ενδιαφέρει βρίσκεται σε διαφορετικό πρόθεμα στην άλλη πλευρά της.

Δύο διαφορετικά πράγματα συγχέονται: η διεύθυνση που σας έδωσε η σήραγγα και το δίκτυο που θέλετε να φτάσετε μέσω αυτής.

Δύο διευθύνσεις, δύο δουλειές

Σε μια σήραγγα σημείου προς σημείο, η διεύθυνση του πελάτη είναι συχνά μία μόνο διεύθυνση κεντρικού υπολογιστή, επειδή υπάρχει ακριβώς ένας ομότιμος στο άλλο άκρο της ζεύξης. Δεν υπάρχει κοινό τμήμα και δεν υπάρχει ARP, οπότε μια μάσκα που θα φαινόταν παράλογη στο Ethernet είναι απολύτως φυσιολογική εδώ.

Το πρόθεμα προορισμού είναι γεγονός για το δίκτυο του γραφείου, όχι για τη σήραγγα. Αν χρειάζεστε έναν διακομιστή, η διαδρομή είναι διαδρομή κεντρικού υπολογιστή για αυτόν τον διακομιστή. Αν χρειάζεστε όλο το υποδίκτυο του γραφείου, η διαδρομή είναι το υποδίκτυο. Καμία από τις δύο απαντήσεις δεν μπορεί να διαβαστεί από τη διεπαφή, και το να επιλέξετε μία επειδή εμφανίστηκε δίπλα στη διεύθυνση της σήραγγας είναι ο τρόπος να σπάσετε μια ρύθμιση που δουλεύει.

Η τρίτη σειρά είναι εκεί όπου η αισιοδοξία γίνεται διακοπή. Η δρομολόγηση ολόκληρου του ιδιωτικού εύρους σε μια σήραγγα που εξυπηρετεί μόνο μία τοποθεσία σπρώχνει άσχετη κίνηση σε μια διαδρομή που δεν μπορεί να την παραδώσει, και οι αποτυχίες που προκύπτουν μοιάζουν με χαλασμένο VPN και όχι με υπερβολικά ευρεία διαδρομή.

Επιλέξτε το πρόθεμα από την απαίτηση

Γράψτε την απαίτηση ως πρόταση πριν αγγίξετε ένα προφίλ: ποιοι κεντρικοί υπολογιστές πρέπει να είναι προσπελάσιμοι και ποιο είναι το στενότερο πρόθεμα που τους καλύπτει; Ένας διακομιστής είναι διαδρομή κεντρικού υπολογιστή. Ένα υποδίκτυο είναι διαδρομή υποδικτύου. Ένα εύρος υποδικτύων είναι σύνοψη, και μια σύνοψη είναι υπόσχεση ότι κάθε διεύθυνση μέσα της είναι προσπελάσιμη, κάτι που σπάνια ισχύει.

Μετά ελέγξτε τον αριθμό με αυτό που χρησιμοποιεί πραγματικά το γραφείο. Το να αντιγράψετε ένα πρόθεμα από ένα μήνυμα συνομιλίας χωρίς να το επιβεβαιώσετε με το σχέδιο διευθυνσιοδότησης της τοποθεσίας είναι ο τρόπος να καταλήξει μια διαδρομή να δείχνει σε υποδίκτυο που δεν ανήκει σε κανέναν.

Θυμηθείτε επίσης ότι μια διαδρομή είναι μονοπάτι, όχι άδεια. Η πύλη εξακολουθεί να αποφασίζει αν ο πελάτης σας επιτρέπεται να χρησιμοποιήσει τον προορισμό, και μια υπηρεσία μπορεί ακόμα να σας αρνηθεί. Η σωστή εγκατάσταση της διαδρομής φτάνει το πακέτο εκεί και δεν απαντά τίποτα για την εξουσιοδότηση.

Προσθέστε στο προφίλ, μην το αντικαταστήσετε ποτέ

Οι διαδρομές σε ένα προφίλ του NetworkManager είναι ιδιότητα πολλαπλών τιμών, και η διαφορά μεταξύ ορισμού και προσθήκης είναι ένας χαρακτήρας. Χρησιμοποιήστε τη μορφή με συν για να προσθέσετε μια καταχώριση και να κρατήσετε όλα όσα έχουν ήδη αποθηκευτεί.

nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
  +ipv4.routes "10.40.20.9/32"

Χωρίς το συν, η ανάθεση αντικαθιστά ολόκληρη τη λίστα. Σε ένα προφίλ που φέρει ήδη πολλά προθέματα, αυτό διαγράφει σιωπηλά εκείνα που δούλευαν, και το σύμπτωμα φτάνει αργότερα ως υπηρεσία που ήταν κάποτε προσπελάσιμη από αυτόν τον φορητό υπολογιστή.

Χρησιμοποιήστε το UUID αντί για το όνομα. Τα ονόματα διπλασιάζονται μετά από επαναφορές, και η σύνδεση που επεξεργάζεστε μπορεί να μην είναι αυτή που μεταφέρει την κίνησή σας. Ελέγξτε πρώτα για υπάρχουσα πανομοιότυπη καταχώριση, γιατί το να προσθέσετε διπλότυπο είναι ακατάστατο ακόμα και όταν είναι αβλαβές.

Η αναφορά ιδιοτήτων διαδρομής τεκμηριώνει τον προορισμό, το προαιρετικό επόμενο άλμα, τη μετρική και τη σύνταξη ιδιοτήτων για την εγκατεστημένη έκδοση. Διαβάστε την πριν προσθέσετε επόμενο άλμα, γιατί το αν χρειάζεται εξαρτάται από την ενσωμάτωση και την τοπολογία, και το να το μαντέψετε από την πρώτη διεύθυνση σε μια λίστα διεπαφών δεν είναι μέθοδος.

Προεπιλεγμένη διαδρομή και DNS είναι ξεχωριστές αποφάσεις

Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.

Οι αυτόματες διαδρομές είναι το άλλο πράγμα που δεν πρέπει να διαταράσσεται απερίσκεπτα. Η καταστολή τους για να λυθεί μία καταχώριση που λείπει μπορεί να αφαιρέσει αρκετές που δουλεύουν, και όποιος το πρότεινε συνήθως κοιτούσε άλλο προφίλ με άλλα pushes.

Το DNS έχει το δικό του μονοπάτι και τις δικές του αποτυχίες. Ένα όνομα που επιλύεται στη σωστή διεύθυνση μέσω λάθος resolver, ή ένας resolver που δεν μπορεί να απαντήσει για την ιδιωτική ζώνη, θα φαίνεται πρόβλημα δρομολόγησης ενώ η διαδρομή είναι τέλεια. Δοκιμάστε τη διεύθυνση και το όνομα ξεχωριστά και μετά αποφασίστε ποιο επίπεδο απέτυχε πραγματικά.

Επαληθεύστε τι εφαρμόστηκε

Μια αποθηκευμένη τροποποίηση δεν είναι εφαρμοσμένη. Επανασυνδεθείτε μέσω του υποστηριζόμενου κύκλου ζωής του διαχειριστή και μετά κοιτάξτε την πραγματική διαδρομή για τον επιθυμητό προορισμό και τους κανόνες πολιτικής που αποφασίζουν ποιος πίνακας συμβουλεύεται.

Αν το πρόθεμα είναι εκεί και η σύνδεση εξακολουθεί να αποτυγχάνει, έχετε περάσει σε άλλο πρόβλημα: επιλογή διεύθυνσης προέλευσης, διαδρομή επιστροφής στο μακρινό άκρο ή υπηρεσία που αρνείται τον πελάτη σας. Κάθε ένα από αυτά είναι καλύτερο μέρος για να κοιτάξετε από το προφίλ που έχετε ήδη διορθώσει.