Γιατί αποτυγχάνουν οι αναζητήσεις ονομάτων μέσα από δρομολογημένη σήραγγα OpenVPN

Ένας υπολογιστής απαντά στο ping με διεύθυνση και αποτυγχάνει σε κάθε αναζήτηση με όνομα. Η σήραγγα είναι ενεργή και η διαδρομή υπάρχει, οπότε το φυσικό συμπέρασμα είναι ότι το VPN έχει λανθασμένη ρύθμιση. Ένα πιο χρήσιμο συμπέρασμα είναι ότι η αναζήτηση δεν ήταν ποτέ δρομολογήσιμη: μια δρομολογημένη σήραγγα μεταφέρει unicast IP, ενώ το ερώτημα ήταν εκπομπή που έψαχνε ένα τμήμα που δεν υπάρχει στην άλλη πλευρά. Μόλις φανεί η ασυμφωνία επιπέδων, οι διορθώσεις ταξινομούνται μόνες τους κατά κόστος.

Μύθος: η σήραγγα είναι χαλασμένη επειδή αποτυγχάνουν τα ονόματα

Το σύμπτωμα πείθει επειδή ό,τι βρίσκεται πάνω από το επίπεδο ονομάτων λειτουργεί. Οι διευθύνσεις δρομολογούνται, η διεπαφή είναι ενεργή και ο ομότιμος απαντά σε ping. Αυτό που απέτυχε είναι ένας μηχανισμός ανακάλυψης που δεν είχε ποτέ μονοπάτι μέσα από ζεύξη σημείου-προς-σημείο, και αυτό είναι διαφορετική δήλωση από μια χαλασμένη σήραγγα. Ο διαχωρισμός των δύο δηλώσεων είναι το μεγαλύτερο μέρος της διάγνωσης.

Η αντιμετώπισή του ως βλάβης σήραγγας οδηγεί σε αλλαγές προφίλ που δεν μπορούν να βοηθήσουν. Η προσθήκη επιλογών, η αλλαγή κρυπτογράφησης ή η επανεγκατάσταση του πελάτη αφήνει την εκπομπή ακριβώς εκεί που ήταν.

Ονομάστε τον μηχανισμό που απέτυχε πριν ονομάσετε τη διόρθωση. Μια αναζήτηση με εκπομπή χρειάζεται τμήμα, ενώ μια αναζήτηση με επιλυτή χρειάζεται μια διεύθυνση για να ρωτήσει.

Τι μεταφέρει το TUN και τι δεν μεταφέρει

Μια συσκευή TUN είναι διεπαφή IP, και αυτό ακριβώς την κάνει δρομολογήσιμη. OpenVPN δίνει στον πελάτη μια διεύθυνση και ένα σύνολο διαδρομών, και από εκεί και πέρα ο πελάτης στέλνει datagram σε έναν ομότιμο. Τίποτα σε αυτό το μοντέλο δεν δημιουργεί κοινή ζεύξη όπου κάθε κόμβος ακούει κάθε πλαίσιο.

Η κίνηση ανακάλυψης δεν ταιριάζει καθόλου σε αυτό το μοντέλο. Παλαιότερα ερωτήματα ονομάτων των Windows, ανακοινώσεις SSDP και αιτήματα mDNS στέλνονται σε όλους σε ένα τμήμα αντί σε έναν προορισμό. Μια δρομολογημένη ζεύξη δεν έχει «όλους» για να στείλει. Καθένας από αυτούς τους μηχανισμούς προϋποθέτει κοινό μέσο.

Η σήραγγα μπορεί επομένως να είναι υγιής ενώ η ανακάλυψη αποτυγχάνει πλήρως. Αυτή είναι η φράση στην οποία πρέπει να κρατηθεί κανείς όταν κάποιος αναφέρει ότι το VPN είναι κάτω.

Η γεφύρωση λειτουργεί αίροντας το όριο

Μια συσκευή TAP μεταφέρει πλαίσια και μια γέφυρα τη συνδέει σε πραγματικό τμήμα LAN. Ο πελάτης τότε κρατά διεύθυνση σε εκείνο το τμήμα και ακούει την κίνηση εκπομπής του. Γι' αυτό η γεφύρωση φαίνεται να θεραπεύει το πρόβλημα των ονομάτων. Κάνει επίσης τον πελάτη εξαρτημένο από εκείνο το τμήμα για τη διευθυνσιοδότηση.

Η θεραπεία είναι η άρση του ορίου δρομολόγησης, όχι κάποια νέα ικανότητα ονομάτων μέσα στη σήραγγα. Ό,τι εκπέμπει το τμήμα περνά πλέον και τη ζεύξη.

Για ένα μικρό εργαστήριο αυτή είναι δίκαιη ανταλλαγή. Σε ένα διασκορπισμένο εργατικό δυναμικό σπάνια είναι.

Η ώθηση DNS και WINS είναι η στενότερη διόρθωση

Δώστε στον πελάτη ένα συγκεκριμένο σημείο για να ρωτά. Τα dhcp-option DNS και dhcp-option DOMAIN κατευθύνουν εσωτερικά ονόματα σε διακομιστή που γνωρίζει τη ζώνη, και ένας πελάτης Windows που ακόμη βασίζεται στο NetBIOS μπορεί να λάβει διακομιστή WINS με τον ίδιο τρόπο. Η σήραγγα παραμένει δρομολογημένη και το τμήμα μένει όπου ανήκει.

Δύο προϋποθέσεις κρίνουν αν αυτό θα δουλέψει. Ο αναφερόμενος διακομιστής πρέπει να απαντά για τη ζώνη, και το ερώτημα πρέπει να επιτρέπεται μέσα από τη σήραγγα.

Δοκιμάστε τον επιλυτή από τον πελάτη και όχι από το κέλυφος του ίδιου του διακομιστή. Ένας επιλυτής που δουλεύει τοπικά δεν λέει τίποτα για το τι μεταφέρει η σήραγγα.

Βρείτε ποιο επίπεδο απέτυχε

Κάντε πρώτα ping στη διεύθυνση, μετά επιλύστε το όνομα και διαβάστε ποιος διακομιστής απάντησε. Μια αρνητική απάντηση από διακομιστή που δεν φιλοξενεί τη ζώνη φαίνεται διαφορετική από ένα ερώτημα που δεν έφυγε ποτέ από το μηχάνημα. Ένα όνομα που επιλύεται αλλά αρνείται συνδέσεις είναι εντελώς τρίτο πρόβλημα.

Το multicast βρίσκεται πίσω από τον ίδιο τοίχο. Μια ομάδα όπως 224.0.0.251 δεν προωθείται μέσα από δρομολογημένη σήραγγα από προεπιλογή, και μια διαδρομή για την ομάδα δεν αρκεί χωρίς μονοπάτι που καταλαβαίνει multicast ή ανακλαστήρα στο LAN.