Tunneli /32 kopeerimine ei marsruudi kontori alamvõrku
Aadress, mille VPN adapterile annab, kirjeldab linki, mitte sihtkohta. Lisage profiilile ressursi prefiks ja jätke vaikerada puutumata.
VPN ühendub, liides näitab aadressi kolmekümne kahe bitise maskiga ja kontori server jääb kättesaamatuks. Järgmine samm on sageli selle maski uuesti kasutamine marsruudil, teooriaga, et liides kirjeldab, mida tunnel suudab jõuda. Ei kirjelda. See aadress kirjeldab punkt-punkti lingi kohalikku otsa ja sihtkoht, mis teid huvitab, asub selle teisel küljel teises prefiksis.
Segatakse kaks erinevat asja: aadress, mille tunnel teile andis, ja võrk, kuhu te selle kaudu jõuda tahate.
Kaks aadressi, kaks ülesannet
Punkt-punkti tunnelis on kliendi aadress sageli üksik hostiaadress, sest lingi teises otsas on täpselt üks partner. Ühist segmenti ega ARP-d ei ole, seega mask, mis Ethernetil tunduks absurdne, on siin täiesti tavaline.
Sihtkoha prefiks on fakt kontori võrgu kohta, mitte tunneli kohta. Kui vajate ühte serverit, on marsruut selle serveri hostimarsruut. Kui vajate kogu kontori alamvõrku, on marsruut alamvõrk. Kumbagi vastust ei saa liideselt lugeda ja ühe valimine sellepärast, et see ilmus tunneli aadressi kõrvale, on viis, kuidas töötav seadistus katki tehakse.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Kolmas rida on koht, kus optimism muutub katkestuseks. Kogu privaatse vahemiku marsruutimine tunnelisse, mis teenindab ainult ühte kohta, lükkab mitteseotud liikluse teele, mis ei suuda seda kohale toimetada, ja sellest tulenevad tõrked näevad välja nagu katkine VPN, mitte liiga lai marsruut.
Valige prefiks nõudest
Kirjutage nõue lausena enne profiili puutumist: millised hostid peavad olema kättesaadavad ja milline on kitsaim prefiks, mis neid katab? Üks server on hostimarsruut. Alamvõrk on alamvõrgu marsruut. Alamvõrkude vahemik on kokkuvõte ja kokkuvõte on lubadus, et iga aadress selle sees on kättesaadav, mis on harva tõsi.
Seejärel kontrollige numbrit selle vastu, mida kontor tegelikult kasutab. Prefiksi kopeerimine vestlussõnumist ilma seda saidi adresseerimisplaaniga kinnitamata on viis, kuidas marsruut satub osutama alamvõrgule, mida kellelegi ei kuulu.
Pidage meeles ka, et marsruut on tee, mitte luba. Lüüs otsustab endiselt, kas teie klient tohib sihtkohta kasutada, ja teenus võib teid endiselt tagasi lükata. Marsruudi õige paigaldamine viib paketi kohale ega vasta midagi autoriseerimise kohta.
Lisage profiilile, ärge kunagi asendage seda
NetworkManageri profiili marsruudid on mitme väärtusega omadus ja seatud ning lisatud marsruudi erinevus on üks märk. Kasutage plussvormi, et kirje lisada ja kõik juba salvestatu alles hoida.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Ilma plussita asendab omistamine kogu loendi. Profiilis, mis juba kannab mitut prefiksit, kustutab see vaikselt need, mis töötasid, ja sümptom saabub hiljem teenusena, mis oli varem sellest sülearvutist kättesaadav.
Kasutage UUID-d nime asemel. Nimed dubleeruvad pärast taastamist ja ühendus, mida muudate, ei pruugi olla see, mis teie liiklust kannab. Kontrollige esmalt olemasolevat identset kirjet, sest duplikaadi lisamine on korratu isegi siis, kui see on kahjutu.
See marsruudi omaduste viide dokumenteerib sihtkoha, valikulise järgmise hüppe, mõõdiku ja atribuudisüntaksi paigaldatud versiooni jaoks. Lugege seda enne järgmise hüppe lisamist, sest selle vajalikkus sõltub integratsioonist ja topoloogiast ning selle oletamine liideste loendi esimesest aadressist ei ole meetod.
Vaikemarsruut ja DNS on eraldi otsused
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Automaatsed marsruudid on teine asi, mida ei tasu hooletult rikkuda. Nende maha surumine ühe puuduva kirje lahendamiseks võib eemaldada mitu töötavat, ja seda soovitanud inimene vaatas tavaliselt teist profiili teiste push-idega.
DNS-il on oma tee ja oma tõrked. Nimi, mis lahendatakse õigeks aadressiks vale resolveri kaudu, või resolver, mis ei suuda privaatse tsooni jaoks vastata, näeb välja nagu marsruutimisprobleem, kui marsruut on täiuslik. Testige aadressi ja nime eraldi, seejärel otsustage, milline kiht tegelikult nurjus.
Kontrollige, mida rakendati
Salvestatud muudatus ei ole rakendatud muudatus. Ühenduge uuesti halduri toetatud elutsükli kaudu, seejärel vaadake kavandatud sihtkoha tegelikku marsruuti ja poliitikareegleid, mis otsustavad, millist tabelit konsulteeritakse.
Kui prefiks on olemas ja ühendus ikka nurjub, olete liikunud teise probleemi juurde: lähteaadressi valik, tagasitee marsruut kaugemas otsas või teenus, mis teie kliendi tagasi lükkab. Igaüks neist on parem koht vaatamiseks kui profiil, mille te juba parandasite.