Andke LAN-i hostidele DHCP valikuga 121 VPN-i tagasitee

Kauged VPN-kliendid ühenduvad, LAN-server vastab ja vastus lahkub tavalisest interneti ruuterist ning sureb seal. Ühte serverit saab parandada staatilise marsruudiga, aga tervet alavõrku neist on parem käsitleda seal, kus nad juba oma võrguseadistust saavad. DHCPv4 valik 121 jagab täpselt sellist sihtkoha marsruuti ja see on osa, mille inimesed tavaliselt valesti teevad niipea, kui nad vaikimisi marsruudi unustavad. Sümptom on ühesuunaline liiklus: päringud saabuvad ja vastused kaovad.

Nimetage esmalt kolm aadressi

Võtke konkreetne LAN: 192.168.50.0/24 tavalise vaikimisi ruuteriga 192.168.50.1 juures ja eraldi VPN-lüüsiga 192.168.50.2 juures. Autenditud kaugkliendid hõivavad 10.90.0.0/24.

Marsruut, mida iga osalev host vajab, on 10.90.0.0/24 via 192.168.50.2. Sihtkoht on kliendikogum ja järgmine hüpe on lüüsi LAN-aadress, mitte selle tunneliaadress.

Kodeerige see klassita staatilise marsruudina

Valik 121 kannab prefiksi ja järgmise hüppe paare ning RFC 3442 määratleb nii kodeeringu kui ka sellest tuleneva kliendi käitumise. Olemasoleva dnsmasq-i eksemplari jaoks, mis teenindab ainult seda näidis-LAN-i, on seadistuse kuju järgmine:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

See on fragment, mitte uus DHCP-teenus. Mitut segmenti teenindaval serveril piirake valikut siltide või võrgupoliitikaga, mida te juba kasutate. Hoidke eelmine seadistus käepärast, sest tagasipööramine tähendab veel üht rendilepingu uuendust, mitte taaskäivitust.

Ärge kaotage vaikimisi marsruuti

See on lõks. Klient, mis saab valiku 121, peab tavalisest Routeri valikust mööda minema, seega ainult VPN-i kogumi marsruudi kuulutamine võib jätta selle hosti täiesti ilma vaikimisi marsruudita. Masin näeb endiselt seadistatud välja ja kaotab vaikselt interneti. Kasutajad kirjeldavad seda nii, et võrk on maas, samal ajal kui kõik liidesed on üleval.

Lisage kavandatud vaikimisi marsruut samasse loendisse, nagu ülalolev fragment teeb. Jätke alles ka tavaline Routeri valik klientidele, kes klassita marsruute ei rakenda; serveri enda valikute käsitlemine otsustab, mida kellele saadetakse.

Kontrollige, mida klient vastu võtab

Käsitsi aadressitud host ei haara seda kunagi, sest ta ei küsi rendilepingut. Klienditugi erineb samuti, seega testige operatsioonisüsteemil, mida te tegelikult kasutate, mitte ärge eeldage, et iga seade valikut 121 austab. Kinnitage nende serverite omanikega, millised on staatilise aadressiga. Need hostid vajavad oma marsruudikirjeid, muidu nad lihtsalt ei osale.

Hallatavad DHCP-teenused on veel üks piir. Mõned pilvevõrgud ei luba administraatoritel suvalisi valikuid avaldada ja konkureeriv DHCP-server samas segmendis on hullem kui valiku täielik puudumine.

Kontrollige rendilepingut, seejärel otsingut

Laske DHCP omanikul muudatus rakendada ja uuendage seejärel rendilepingut kliendis. Olemasolevad rendilepingud hoiavad vana seadistust, kuni neid uuendatakse, seega kohene tulemus ei ole tagatud.

Linuxi kliendis lugege tegelikud marsruudid ja kinnitage mõlemad kirjed:

ip -4 route
ip -4 route get 10.90.0.23

Kontekstipõhine otsing peaks näitama kogumi marsruuti läbi 192.168.50.2 ja vaikimisi marsruuti läbi 192.168.50.1. Kui vaikimisi marsruut puudub, olete ülaltoodud lõksu taastanud.

Seejärel testige tegelikku vahetust

Marsruutide jagamine ei ole kogu tee. Eraldi lüüs vajab endiselt edastamist, kaugpartnerite omandit ja juurdepääsupoliitikat, mis serverit lubab, ning DHCP ei autendi kedagi.

Lõpuks hoidke eemaldamisplaan. Õpitud staatiline marsruut ei tõmba end tagasi, kui VPN maha läheb, seega aegunud järgmine hüpe võib muuta selle prefiksi mustaks auguks kaua pärast seda, kui tunnel on kadunud.