Mac L2TP jagatud marsruudid: miks hosti aadress ei tööta

VPN ühendub, menüüriba näitab seda, aga sisemine host ei vasta ikkagi. Selles olukorras on kolm võimalikku põhjust ja see, milline neist kehtib, sõltub sellest, kuidas tunnel seadistati. Kas marsruudikäsk kasutas hosti aadressi seal, kus oli vaja võrguaadressi, või paigaldab profiil ise vaikemarsruudi, mis otsuse alla neelab, või on klient PPP-tunnel, mis vajab profiilivõtme asemel haaki. Kontrollige neid selles järjekorras, sest esimest on kõige odavam välistada.

Sihtkoht on võrguaadress, mask kirjeldab prefiksit

networksetup -setadditionalroutes võtab vastu sihtkoha, alamvõrgu maski ja lüüsi kolmikuid. Kõne, mis saadab ühe sisemise alamvõrgu läbi tunneli, näeb välja nii:

sudo networksetup -setadditionalroutes "VPN (L2TP)" 192.168.1.0 255.255.255.0 10.2.0.0

Pöörake tähelepanu sellele, mis on sihtkoht: võrguaadress, mitte serveri aadress, kuhu proovite jõuda. Juhtumil, mis selle artikli tekitas, ei teinud identne käsk 192.168.1.20-ga selles kohas midagi kasulikku, ja selle asendamine 192.168.1.0-ga toimis kohe. Sama mask, sama lüüs, üks erinev number. See on kogu rike miniatuuris.

Põhjus on aritmeetika, mitte poliitika. Hosti aadress /24 maskiga ei kirjelda 192.168.1.0/24; see kirjeldab midagi, mida marsruutimistabel ei suuda kasulikult hoida, nii et kirje lükatakse tagasi või eiratakse ja tunnel kannab lõpuks vähem, kui kavatsesite.

Kui soovite täpselt ühte hosti, kasutage hosti aadressi maskiga 255.255.255.255. Segapaarid on koht, kus see valesti läheb, mitte hosti aadressi kasutamine kui selline. Ühest aadressist ehitatud /32 on seaduslik marsruut; ühest aadressist ehitatud /24 on viga.

Kõne asendab loendi ja nimi on sõnasõnaline

Kaks käitumist üllatavad inimesi esimesel katsel. Käsk seab täieliku lisamarsruutide loendi, mitte ei lisa, seega ühe prefiksi lisav kõne eemaldab vaikselt teised, mis varem seal olid. Ehitage kogu komplekt ühe kutsega.

Ka teenuse nimi ei ole silt, mille te välja mõtlesite. Lugege see tööriistast ja kopeerige täpselt, sealhulgas tüübi järelliide:

networksetup -listallnetworkservices

Ühe tähemärgi võrra erinev nimi ei anna lugemist väärt viga ega marsruuti. Siin on õige tehnika kopeerimine ja kleepimine, mitte mälust ümber trükkimine.

Kui profiil nõuab vaikemarsruuti

Jagatud marsruudid kaotavad vaikemarsruudile iga sihtkoha puhul, mida need otseselt ei kata, ja täistunnelile seadistatud L2TP profiil paigaldab täpselt selle. Kui profiil ütleb, et kõik läheb tunnelist läbi, muutub lisamarsruutide loend väga vähe. Teie kirje ei ole vale; see on lihtsalt ebaoluline sihtkohtadele, mida see kunagi ei nimeta. Selle juhtimine asub tavaliselt profiili kogu liikluse saatmise seades, mitte üheski marsruudikäsus.

Otsustage, millist mudelit te tegelikult tahate, enne kui veel kirjeid muudate. Eranditega täistunnel on erinev seadistus kui konkreetsete prefiksitega jagatud tunnel, ja kahe segamine annab tabeli, mida keegi ei suuda ennustada.

Kui organisatsioon nõuab täistunnelit, lõpetage selle kohalik jagamine ja viige nõue selle omanikuni, kellel on poliitika. Kohapeal lisatud marsruut, mis sellega vastuolus on, eemaldatakse järgmise profiiliuuendusega niikuinii.

PPP-tunnelid vajavad võtme asemel haaki

PPP-põhiste tunnelite puhul on defaultroute profiilivõti, mis loob vaikemarsruudi; eemaldage see ja klient lakkab iga sihtkoha nõudmast. Marsruudid lisatakse seejärel pärast liidese ilmumist, tavaliselt failist /etc/ppp/ip-up:

#!/bin/sh
/sbin/route add -net 192.168.1.0 -interface ppp0

Hoidke skript rooti omandis ja käivitatavana ning lisage liidese nimele kaitse, kui masinas on rohkem kui üks tunneliprofiil. Haak, mis käivitub iga PPP-lingi jaoks ja eeldab ühte seadme nime, on väike viga pika elueaga.

Kontrollige jagunemist kolme päringuga

Salvestage tabel ühendatud olekus ja märkige, milline liides tunnelit teenindab. Seejärel kontrollige konkreetset sihtkohta, selle asemel et usaldada selle loonud käsu väljumisolekut. Väljumiskood teatab, kas tööriist võttis argumendid vastu, mitte seda, kas liiklus läheb kavatsetud teed.

Lõpetage kolme päringuga, mis jagunemist tõestavad: üks sisemine host aadressi järgi, üks sisemine nimi sisemise resolveri kaudu ja üks avalik sait, mis peaks endiselt kasutama kohalikku ühendust. Kui avalik sait nüüd ka tunnelist läbi käib, ei toimunud jagunemist kunagi, mida iganes marsruudiloend näib ütlevat.

Ühendage veel korra ja korrake sisemist päringut, sest käsitsi lisatud marsruudid võivad üle elada liidese, mis need kehtivaks tegi ja muudavad liikluse vaikselt mustaks auguks pärast tunnelilangust.