Dé a los equipos de la LAN una ruta de retorno VPN con la opción 121 de DHCP

Los clientes VPN remotos se conectan, el servidor de la LAN responde y la respuesta sale por el router de internet habitual y muere allí. Un servidor se puede arreglar con una ruta estática, pero una subred entera de ellos se gestiona mejor donde ya reciben su configuración de red. La opción 121 de DHCPv4 distribuye exactamente ese tipo de ruta de destino, y es la parte que la gente suele hacer mal en cuanto olvida la ruta predeterminada. El síntoma es tráfico en un solo sentido: llegan las peticiones y desaparecen las respuestas.

Nombre primero las tres direcciones

Tome una LAN concreta: 192.168.50.0/24 con el router predeterminado habitual en 192.168.50.1 y una puerta de enlace VPN aparte en 192.168.50.2. Los clientes remotos autenticados ocupan 10.90.0.0/24.

La ruta que necesita cada equipo participante es 10.90.0.0/24 via 192.168.50.2. El destino es el grupo de clientes y el siguiente salto es la dirección LAN de la puerta de enlace, no su dirección de túnel.

Codifíquela como ruta estática sin clase

La opción 121 transporta pares de prefijo y siguiente salto, y RFC 3442 define tanto la codificación como el comportamiento del cliente que se deriva. Para una instancia de dnsmasq existente que solo sirve esta LAN ilustrativa, la forma de la configuración es:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Eso es un fragmento, no un servicio DHCP nuevo. En un servidor que atiende varios segmentos, limite la opción con las etiquetas o la política de red que ya utiliza. Tenga a mano la configuración anterior, porque revertir esto significa otra renovación de la concesión, no un reinicio.

No pierda la ruta predeterminada

Esta es la trampa. Un cliente que recibe la opción 121 debe ignorar la opción Router habitual, así que anunciar solo la ruta del grupo VPN puede dejar a ese equipo sin ninguna ruta predeterminada. La máquina sigue pareciendo configurada y pierde internet en silencio. Los usuarios lo describen como que la red está caída mientras todas las interfaces están activas.

Incluya la ruta predeterminada prevista en la misma lista, como hace el fragmento anterior. Mantenga también la opción Router habitual para los clientes que no implementan rutas sin clase; el manejo propio de opciones del servidor decide qué se envía a quién.

Compruebe qué aceptará el cliente

Un equipo con dirección manual nunca recoge esto, porque no pide una concesión. El soporte de los clientes también varía, así que pruebe en el sistema operativo que realmente ejecuta en lugar de suponer que cada dispositivo respeta la opción 121. Confirme con quien posee esos servidores cuáles tienen dirección estática. Esos equipos necesitan sus propias entradas de ruta o simplemente no participarán.

Los servicios DHCP gestionados son otro límite. Algunas redes en la nube no permiten a los administradores publicar opciones arbitrarias, y un servidor DHCP competidor en el mismo segmento es peor que no tener ninguna opción.

Verifique la concesión y luego la consulta

Haga que el propietario de DHCP aplique el cambio y luego renueve la concesión en un cliente. Las concesiones existentes conservan la configuración antigua hasta que se renuevan, así que los resultados inmediatos no están garantizados.

En un cliente Linux, lea las rutas reales y confirme ambas entradas:

ip -4 route
ip -4 route get 10.90.0.23

La consulta contextual debería mostrar la ruta del grupo a través de 192.168.50.2 y la predeterminada a través de 192.168.50.1. Si falta la predeterminada, ha reproducido la trampa anterior.

Después pruebe el intercambio real

La distribución de rutas no es todo el camino. La puerta de enlace aparte todavía necesita reenvío, propiedad de los pares remotos y una política de acceso que permita el servidor, y DHCP no autentica a nadie.

Por último, mantenga un plan de retirada. Una ruta estática aprendida no se retira sola cuando la VPN cae, así que un siguiente salto obsoleto puede convertir ese prefijo en un agujero negro mucho después de que el túnel haya desaparecido.