Miks täistunneliga VPN peidab teie marsruuditud kohalikud VLAN-id

Valik „allow local network“ VPN-kliendis kõlab, nagu kataks see kõike hoones. Praktikas lisab see tavaliselt tunnelis vaike-marsruudile paar eravõrgu aadressi erandit ja jääb sinna pidama. Teie salvestus-VLAN jääb kättesaadavaks ainult siis, kui selle konkreetse prefiksi marsruut jääb tunneli saabumisele vastu, ja paljudes klientides ei jää.

See on marsruutimise, mitte VPN-i seade küsimus, mis on hea uudis: sellel on konkreetne vastus.

Mida allow-local-network tegelikult katab

Kliendid rakendavad seda valikut erinevalt. Mõned lisavad marsruudid alavõrgule, millega masin on ühendatud, mõned lisavad RFC 1918 vahemikud ja üksikud jätavad välja ainult vaikelüüsi. Ükski neist ei tea, et teie kontori ruuter teenindab ka salvestus-VLAN-i, labori segmenti või printerite alavõrku, sest need prefiksid ei ole kaablil, mida klient näeb. Lugege kliendi enda dokumentatsiooni täpse käitumise kohta, selle asemel et eeldada, et silt kirjeldab teie topoloogiat.

Erinevus on kõige olulisem täistunneli lahenduses, kus klient asendab teadlikult vaike-marsruudi, et kogu liiklus läheks VPN-i kaudu. See on kogu lahenduse mõte ja just see paneb kohalikud marsruuditud võrgud kaduma. Neid ei katnud kunagi nende oma marsruut; need sõitsid vaike-marsruudil, mis just asendati. Klient ei saa marsruutida seda, mille olemasolust ta ei tea, ja ta õpib ainult oma liidesega seotud prefikse. Kõik muu peab kirjeldama keegi, kes topoloogiat tunneb.

Ühendatud marsruudid peatuvad esimeses ruuteris

Tööjaam aadressil 192.168.10.20/24 ja lüüsiga 192.168.10.1 saab automaatselt ühendatud marsruudi 192.168.10.0/24 jaoks. Salvestus-VLAN aadressil 192.168.20.0/24 on teine prefiks, kättesaadav ainult selle lüüsi kaudu, ja tööjaamal ei ole selle jaoks vaikemarsruudist kaugemat teed. Enne kui tunnel üles tuleb, saadab tavaline vaikemarsruut salvestusliikluse juhuslikult aadressile 192.168.10.1 ja kõik töötab.

Kui VPN paigaldab täistunneli vaikemarsruudi, järgivad paketid aadressile 192.168.20.1 uut vaikemarsruuti tunnelisse. Kauglüüsil pole aimugi, kus see prefiks asub, nii et see viskab need ära või edastab kuhugi kasutusse. Salvestus-VLAN-is ei olnud midagi valesti seadistatud; selle tee oli laenatud ja laen kutsuti tagasi.

Kiusatus on haarata laia erandi järele, näiteks /1 marsruudipaar või teine vaikemarsruut. Seisake sellele vastu. Mida kitsam erand on, seda kergem on seda võrgu muutumisel selgitada, kontrollida ja eemaldada.

Pange erand tabelisse, mis võidab

Ühe marsruutimistabeli sees võidab /24 marsruudi /0 või /1 pikima prefiksi vastavuse tõttu, nii et konkreetne marsruut salvestus-VLAN-ini kohaliku lüüsi kaudu on piisav, eeldusel et tabelit üldse vaadatakse. Linuxis on tavaline vorm lühike:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Poliitikapõhine marsruutimine muudab selle garantii keerulisemaks. Varajasem reegel võib saata liikluse tabelisse, mille oma vaikemarsruut osutab tunnelisse, ja peamist tabelit, mis hoiab teie /24, siis kunagi ei jõuta. Kontrollige reegleid, enne kui eeldate, et marsruut on määrav, sest õigesti näiv kirje vales tabelis seletab tõrget, mis näeb välja nagu katkine marsruut.

Seejärel tehke kirje püsivaks kliendi toetatud mehhanismi või liidest omava võrguhalduri kaudu. Käsuviipa trükitud marsruut kaob järgmisel taasühendamisel ja ühe Wi-Fi lüüsiga seotud marsruut ei ole ülekantav järgmisse võrku, mida sülearvuti külastab.

Nimed ja poliitika ei järgi marsruute

Marsruudi parandamine taastab paketid, mitte nimed. Kui kohalikud seadmed lahendatakse peale surutud resolveri kaudu, mis ei tea neist midagi, ebaõnnestub kinnitamine ikka, kuigi aadress on kättesaadav. Kohalikud nimed vajavad kohalikku või jagatud DNS-i lahendust ja see on marsruudi erandist eraldi otsus.

Poliitika on jälle eraldi. VPN-kliendi kohaliku juurdepääsu filter võib teadlikult keelata liikluse eravahemikesse ja marsruut ei tühista seda reeglit. Ebausaldusväärses võrgus ei ole eraaadress ka tõestus, et sihtkoht on teie salvestusserver, nii et erand peaks olema sama konkreetne kui marsruut ise.

Leping, mille saate üle anda

Valmis lahendus peaks lugema nagu lühike nimekiri: üldine internetiliiklus järgib tunnelit ja need nimetatud kohalikud prefiksid säilitavad oma tee läbi kohaliku ruuteri. Kirjutage üles prefiksid, järgmine hüpe ja nendega kaasnev DNS-järelliide ning hoidke nimekiri piisavalt lühike, et keegi saaks seda kontrollida ilma marsruutimistabelit lugemata.

Jälgige kattuvust kohalike ja kaugemate vahemike vahel. Salvestus-VLAN, mis jagab prefiksit millegagi VPN-i taga, lahendatakse marsruudile, mis on konkreetsem, ja tulemuseks olev käitumine on segadusse ajav viisil, mis näib katkendlik. Ühe poole ümbernummerdamine on tavaliselt odavam kui ebamäärasuse igavene silumine.

Testige lepingut kaks korda: korra tunneliga üles ja korra sellega alla. Kui kohalik tee töötab ainult ühes neist olekutest, ei ole erand veel leping.