Mac L2TP disigitaj vojoj: kial gastigila adreso ne funkcias

La VPN konektiĝas, la menuo montras ĝin, kaj interna gastigilo ankoraŭ ne respondas. En tiu situacio ekzistas tri eblaj kaŭzoj, kaj kiu validas dependas de tio, kiel la tunelo estis agordita. Aŭ la voja komando uzis gastigilan adreson tie, kie reta adreso estis bezonata, aŭ la profilo mem instalas defaŭltan vojon, kiu englutas la decidon, aŭ la kliento estas PPP-tunelo, kiu bezonas hokon anstataŭ profila ŝlosilo. Kontrolu ilin laŭ tiu ordo, ĉar la unua estas la plej facila por ekskludi.

La celo estas reta adreso, la masko priskribas la prefikson

networksetup -setadditionalroutes prenas triopojn de celo, subreta masko kaj kluzo. La voko, kiu sendas unu internan subreton tra la tunelo, aspektas jene:

sudo networksetup -setadditionalroutes "VPN (L2TP)" 192.168.1.0 255.255.255.0 10.2.0.0

Rimarku, kio estas la celo: la reta adreso, ne la adreso de la servilo, kiun vi provas atingi. En la kazo, kiu naskis ĉi tiun artikolon, la identa komando kun 192.168.1.20 en tiu pozicio faris nenion utilan, kaj anstataŭigi ĝin per 192.168.1.0 tuj funkciis. Sama masko, sama kluzo, unu malsama cifero. Tio estas la tuta fiasko en miniaturo.

La kialo estas aritmetiko, ne politiko. Gastigila adreso kunigita kun /24-masko ne priskribas 192.168.1.0/24; ĝi priskribas ion, kion la enkursiga tabelo ne povas utile teni, do la ero estas malakceptita aŭ ignorita kaj la tunelo finfine portas malpli ol vi intencis.

Kiam vi volas ekzakte unu gastigilon, uzu la gastigilan adreson kun masko 255.255.255.255. Miksitaj paroj estas kie ĉi tio eraras, ne la uzo de gastigila adreso kiel tia. /32 konstruita el unu adreso estas laŭleĝa vojo; /24 konstruita el unu adreso estas eraro.

La voko anstataŭigas la liston, kaj la nomo estas laŭvorta

Du kondutoj surprizas homojn ĉe la unua provo. La komando agordas la kompletan liston de pliaj vojoj anstataŭ aldoni, do voko, kiu aldonas unu prefikson, silente forigas la aliajn, kiuj estis tie antaŭe. Konstruu la tutan aron per unu voko.

La serva nomo ankaŭ ne estas la etikedo, kiun vi elpensis. Legu ĝin el la ilo kaj kopiu ĝin precize, inkluzive la tipsufikson:

networksetup -listallnetworkservices

Nomo, kiu malsamas per unu signo, produktas nek eraron indan legi nek vojon. Kopiado kaj algluado estas la ĝusta tekniko ĉi tie, ne retajpado el memoro.

Kiam la profilo postulas la defaŭltan vojon

Disigitaj vojoj perdas kontraŭ defaŭlta vojo por ĉiu celo, kiun ili ne eksplicite kovras, kaj L2TP profilo agordita por plena tunelo instalas ĝuste tion. Se la profilo diras, ke ĉio iras tra la tunelo, la listo de pliaj vojoj ŝanĝiĝas tre malmulte. Via ero ne estas malĝusta; ĝi simple estas nerelevanta por la celoj, kiujn ĝi neniam nomas. La regado de tio kutime sidas en la agordo de la profilo por sendi la tutan trafikon, ne en iu ajn voja komando.

Decidu, kiun modelon vi efektive volas, antaŭ ol redakti pliajn erojn. Plena tunelo kun esceptoj estas alia agordo ol disigita tunelo kun specifaj prefiksoj, kaj miksi la du produktas tabelon, kiun neniu povas antaŭdiri.

Se la organizo postulas plenan tunelon, ĉesu provi disigi ĝin loke kaj portu la postulon al tiu, kiu posedas la politikon. Loke aldonita vojo, kiu kontraŭdiras ĝin, estos forigita de la sekva profila ĝisdatigo ĉiuokaze.

PPP-tuneloj bezonas hokon anstataŭ ŝlosilon

Por PPP-bazitaj tuneloj, defaultroute estas la profila ŝlosilo, kiu kreas defaŭltan vojon; forigu ĝin kaj la kliento ĉesas postuli ĉiun celon. Vojoj tiam aldoniĝas post kiam la interfaco aperas, kutime el /etc/ppp/ip-up:

#!/bin/sh
/sbin/route add -net 192.168.1.0 -interface ppp0

Tenu la skripton posedata de root kaj plenumebla, kaj aldonu gardon al la interfaca nomo, kiam pli ol unu tunela profilo ekzistas sur la maŝino. Hoko, kiu ruliĝas por ĉiu PPP-ligilo kaj supozas unu aparatan nomon, estas malgranda cimo kun longa vivo.

Kontrolu la disigon per tri petoj

Kaptu la tabelon dum vi estas konektita kaj notu, kiu interfaco servas la tunelon. Poste kontrolu la specifan celon anstataŭ fidi la eliran staton de la komando, kiu kreis ĝin. Elirkodo raportas, ĉu la ilo akceptis la argumentojn, ne ĉu la trafiko sekvas la vojon, kiun vi intencis.

Finu per tri petoj, kiuj pruvas la disigon: unu interna gastigilo laŭ adreso, unu interna nomo per la interna solvilo, kaj unu publika retejo, kiu ankoraŭ uzu la lokan konekton. Se la publika retejo nun ankaŭ vojaĝas tra la tunelo, la disigo neniam okazis, kion ajn la voja listo ŝajnas diri.

Rekonektu unu plian fojon kaj ripetu la internan peton, ĉar vojoj aldonitaj mane povas postvivi la interfacon, kiu igis ilin validaj kaj silente igi la trafikon nigra truo post kiam la tunelo falas.