See L2TP-aadress on IPCP, mitte DHCP-liising LAN-is

Sisemine aadress tuleb PPP-läbirääkimistest, mitte kontori DHCP-serverist. Vaadake, milline etapp selle määrab, miks LAN ei saa vastata ja mida kontrollida.

Ühendus tuleb üles ja adapter näitab kontori vahemikku kuuluvat aadressi, seega loomulik järeldus on, et VPN andis sulle LAN-aadressi ja pani sind seega LAN-i. Kumbki pool sellest pole päris õige. L2TP kannab PPP-sessiooni ja PPP peab IPCP-ga läbirääkimisi sisemise IPv4-aadressi üle. See aadress on kahe osapoole vahel kokku lepitud sessiooniparameeter, mitte kontori DHCP-serveri väljastatud liising, ja selle hoidmine ei tee sinust kontori juhtme naabrit.

Kaks aadressi ühes ühenduses

L2TP-ühenduses on kaks sõltumatut läbirääkimist. Välimine loob kaitstud tee sinu seadme ja VPN-i lõpp-punkti vahel üle selle võrgu, mis sul juba on. Sisemine on PPP-sessioon ja just seal lepitakse kokku sinu sessiooni aadress ja vastaspoole aadress. Internetiliiklus võib väljuda hoopis kolmanda aadressi all, lõpp-punkti avaliku aadressi all, mistõttu VPN-i kontrollleht ja adapteri aadress harva kattuvad.

Nende kolme rolli lahus hoidmine vastab enamikule küsimustele, mida inimesed sellele kihile toovad. Privaatne number VPN-liidesel on normaalne ja ootuspärane. See ei ütle midagi selle kohta, kas lõpp-punkt muutis sinu avalikku väljundit, ega otsusta iseenesest, milliseid sihtkohti sinu liiklus jõuab.

Mida IPCP täpselt teeb

IPCP on PPP IPv4-kontrollprotokoll. Kumbki pool saadab Configure-Request-sõnumeid, mis kirjeldavad soovitud valikuid, ja aadressi valik on üks neist. Klient, kellel aadressi veel pole, küsib tavaliselt 0.0.0.0-ga, ja server vastab Configure-Nak-iga, mis kannab aadressi, mida ta soovib, et klient kasutaks. Seejärel küsib klient seda aadressi ja sessioon tuleb üles kohaliku ja kaugema aadressiga.

See vahetus on dokumenteeritud PPP ja IPCP spetsifikatsioonides ning selgitab detaili, mis näeb välja nagu viga: aadressi valib server oma poliitika järgi, milleks võib olla bassein, ühe kasutaja seade või autenditud identiteediga seotud aadress. Kui bassein on ammendunud või poliitika läheb taotlusega vastuollu, võib autentimine õnnestuda, samal ajal kui aadressi läbirääkimine ebaõnnestub, ja klient teatab ühendusest, mis ei jää kunagi püsima.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

pppd logirida, mis nimetab kohalikku ja kaugemat aadressi, on selle läbirääkimise edukas lõpp. Selle puudumine eduka autentimise kõrval osutab aadressi etapile, mitte mandaatidele.

Miks LAN ei saa sulle vastata

Kaugema poole vahemikust pärit aadress tekitab ootuse, et selle LAN-i hostid jõuavad sinuni, ja enamasti ei jõua, kui server ei suuna sinu sessiooni aadressi tagasi tunnelisse. Basseini sees olemine on väide jaotamise, mitte topoloogia kohta. Kontori failiserveril pole sinu sessiooni aadressini marsruuti, kui VPN-server seda edasi ei saada, ja võib-olla pole see lubatud isegi siis, kui saadab.

Seetõttu tekitavad kattuvad vahemikud probleeme, mis on ebaproportsionaalsed nende näiva suurusega. Kui bassein kattub LAN-iga, mida klient juba kasutab, on kliendi marsruutimistabelis nüüd kaks nõuet samale prefiksile, ja vale võidab sageli põhjustel, millel pole tunneliga midagi pistmist.

Kontrolli kõigepealt sessiooni, siis marsruuti

Kontrolli esmalt liidest, siis marsruute, siis ühte sihtkohta, mis loeb. Igal etapil on oma tõrkerežiim ja kõigi kolme korraga testimine annab järelduse, mida sa hiljem kaitsta ei saa.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Kui avalik kontroll näitab lõpp-punkti aadressi, samal ajal kui privaatne sihtkoht aegub, kannab tunnel sinu vaikimisi marsruuti ja kaugem pool ei vasta selle sihtkoha eest. Kui privaatne sihtkoht vastab, aga avalik kontroll ei muutu, kasutab profiil jagatud tunnelit ja sessiooni kasutab ainult osa liiklusest.

Hoia kolm etappi lahus

Autentimine, aadressi läbirääkimine ja edasisaatmine ebaõnnestuvad erinevalt, ja igal on eri omanik. Mandaadid on identiteedi probleem, IPCP ammendumine on serveripoliitika probleem ja puuduv tagasitee on võrgu kujunduse probleem. Kõigi kolme teatamine kui “VPN on katki” tagab aeglase paranduse.

Kirjuta üles määratud aadress, bassein, kust see tuli, ja kas LAN peaks sellele jõudma. See üks märkus hoiab ära, et järgmine inimene eeldab DHCP-liisingut ja otsib vahemikku, mis polnud kunagi mängus.

Seotud artiklid