Kial plentunela VPN kaŝas viajn enkursigitajn lokajn VLAN-ojn

La ŝaltilo “allow local network” en VPN-kliento sonas kvazaŭ ĝi kovrus ĉion en la konstruaĵo. Praktike ĝi kutime aldonas kelkajn esceptojn de privataj adresoj al la implicita vojo de la tunelo kaj haltas tie. Via stoka VLAN restas atingebla nur se vojo por tiu specifa prefikso postvivas la alvenon de la tunelo, kaj ĉe multaj klientoj ĝi ne postvivas.

Tio estas demando pri enkursigado, ne agordo de VPN, kio estas bona novaĵo: ĝi havas konkretan respondon.

Kion allow-local-network fakte kovras

Klientoj realigas tiun opcion malsame. Iuj aldonas vojojn por la subreto al kiu la maŝino estas alkroĉita, iuj aldonas la RFC 1918 gamojn, kaj kelkaj nur ekskludas la implicitan pordegon. Neniu el ili scias, ke via oficeja enkursigilo ankaŭ servas stokan VLAN, laboratorian segmenton aŭ printilan subreton, ĉar tiuj prefiksoj ne estas sur la kablo, kiun la kliento vidas. Legu la propran dokumentaron de la kliento por la preciza konduto anstataŭ supozi, ke la etikedo priskribas vian topologion.

La distingo plej gravas en plentunela dezajno, kie la kliento intence anstataŭigas la implicitan vojon, por ke la tuta trafiko iru tra la VPN. Tio estas la tuta celo de la dezajno, kaj ĝuste tio igas la lokajn enkursigitajn retojn malaperi. Ili neniam estis kovritaj de propra vojo; ili rajdis sur la implicita vojo, kiu ĵus estis anstataŭigita. Kliento ne povas enkursigi tion, pri kies ekzisto ĝi ne scias, kaj ĝi lernas nur pri prefiksoj ligitaj al sia propra interfaco. Ĉion alian devas priskribi iu, kiu konas la topologion.

Konektitaj vojoj haltas ĉe la unua enkursigilo

Laborstacio ĉe 192.168.10.20/24 kun pordego 192.168.10.1 aŭtomate ricevas konektitan vojon por 192.168.10.0/24. La stoka VLAN ĉe 192.168.20.0/24 estas alia prefikso, atingebla nur tra tiu pordego, kaj la laborstacio havas neniun vojon por ĝi krom la implicita. Antaŭ ol la tunelo ekfunkcias, la ordinara implicita vojo hazarde sendas la stokan trafikon al 192.168.10.1 kaj ĉio funkcias.

Kiam la VPN instalas plentunelan implicitan vojon, pakaĵoj por 192.168.20.1 sekvas la novan implicitan vojon en la tunelon. La fora pordego tute ne scias, kie tiu prefikso loĝas, do ĝi forĵetas ilin aŭ plusendas ilin al senutila loko. Nenio estis malĝuste agordita sur la stoka VLAN; ĝia vojo estis pruntita, kaj la prunto estis revokita.

La tento estas atingi larĝan escepton, ekzemple paron da vojoj /1 aŭ duan implicitan vojon. Rezistu al ĝi. Ju pli mallarĝa la escepto, des pli facile estas klarigi, kontroli kaj forigi ĝin, kiam la reto ŝanĝiĝos.

Metu la escepton en la tabelon, kiu venkas

En unu enkursiga tabelo, /24 venkas /0 aŭ /1 per la plej longa prefiksa kongruo, do specifa vojo al la stoka VLAN tra la loka pordego sufiĉas, kondiĉe ke la tabelo entute konsultiĝas. En Linukso la ordinara formo estas mallonga:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Politika enkursigado komplikigas tiun garantion. Pli frua regulo povas sendi trafikon al tabelo, kies propra implicita vojo montras en la tunelon, kaj la ĉefa tabelo tenanta vian /24 tiam neniam estas atingata. Kontrolu la regulojn antaŭ ol supozi, ke la vojo estas aŭtoritata, ĉar ĝuste aspekta ero en la malĝusta tabelo klarigas fiaskon, kiu aspektas kiel rompita vojo.

Poste igi la eron daŭra per la mekanismo subtenata de la kliento aŭ per la retadministrilo, kiu posedas la interfacon. Vojo tajpita ĉe la prompto malaperas ĉe la sekva rekonekto, kaj vojo ligita al unu Wi-Fi pordego ne estas portebla al la sekva reto, kiun la tekkomputilo vizitos.

Nomoj kaj politiko ne sekvas vojojn

Ripari la vojon restaŭras pakaĵojn, ne nomojn. Se lokaj aparatoj estas solvataj per trudita solvilo, kiu scias nenion pri ili, la muntado ankoraŭ fiaskas, eĉ se la adreso estas atingebla. Lokaj nomoj bezonas lokan aŭ dividitan DNS-aranĝon, kaj tio estas aparta decido de la voja escepto.

Politiko denove estas aparta. La loka alira filtrilo de VPN-kliento povas intence malpermesi trafikon al privataj gamoj, kaj vojo ne superregas tiun regulon. En nefidinda reto, privata adreso ankaŭ ne estas pruvo, ke la celo estas via stoka servilo, do la escepto devus esti same specifa kiel la vojo mem.

Kontrakto, kiun vi povas transdoni

La finita dezajno devus legiĝi kiel mallonga listo: ĝenerala interreta trafiko sekvas la tunelon, kaj tiuj nomitaj lokaj prefiksoj konservas sian vojon tra la loka enkursigilo. Skribu la prefiksojn, la sekvan salton kaj la DNS-sufikson, kiu akompanas ilin, kaj tenu la liston sufiĉe mallonga, ke iu povu kontroli ĝin sen legi enkursigan tabelon.

Atentu pri interkovro inter lokaj kaj foraj gamoj. Stoka VLAN, kiu dividas prefikson kun io malantaŭ la VPN, solviĝos al la vojo, kiu estas pli specifa, kaj la rezulta konduto estas konfuza tiel, ke ĝi aspektas intermita. Renumeri unu flankon kutime estas pli malmultekosta ol eterne sencimigi la ambiguecon.

Testu la kontrakton dufoje: unufoje kun la tunelo supren kaj unufoje kun ĝi malsupren. Se la loka vojo funkcias nur en unu el tiuj statoj, la escepto ankoraŭ ne estas kontrakto.