VPN-adapter näitab /32: see ei tähenda ühte sihtkohta

Adapterid näitavad 255.255.255.255 ja sageli järeldatakse, et VPN jõuab täpselt ühe aadressini. Selline lugemine ajab segi kliendi enda aadressi tunnelist suunatavate sihtkohtade hulgaga. Punkt-punkt või marsruuditud liidesel on need kaks eri objekti ja ainult üks neist piirab jõutavust. Müüt püsib, sest mask sarnaneb alamsvõrgu maskiga, mida inimesed Ethernetis õppisid.

Müüt: hostimask tähendab üht jõutavat hosti

/32 määramine ütleb liidesele, milline aadress kuulub selle lüli sellele otsale, ja punkt-punkt lülis on see kõik, mida see tähendab. Vastaspoole aadress on eraldi väli ja marsruudid, mis ütlevad, mis asub vastaspoolest kaugemal, on jälle eraldi. Miski maskis ei kirjelda kaugvõrku, sest mask ei ole koht, kus kaugvõrke kirjeldatakse. Selle lugemine jõutavuse piirina on nagu oma maja numbri lugemine loeteluna kõigist aadressidest, mida tohib külastada.

Segadusel on tõeline juur: Ethernetis tähendaks hostimask tõesti üht ainsat aadressi selles segmendis. Tunnel ei ole Etherneti segment ja selle, mis sealt läbi läheb, otsustab kliendi marsruutimistabel, mitte mask. Seetõttu võib sama /32 seista terve andmekeskuse ees.

Lugege aadressi ja marsruute eraldi objektidena

Trükkige liides ja tabel koos välja ning lugege neid siis kahe vastusena kahele küsimusele. Aadress vastab, kes see ots on; marsruudid vastavad, kuhu liiklus tohib minna. Kolmas küsimus, milliseid sihtkohti lüüs lubab, ei ole kliendil üldse nähtav. iproute2 aadressiviide kirjeldab kohaliku aadressi, vastaspoole ja prefiksimarsruudi välju eraldi just sel põhjusel.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windowsis on sama eraldus aadressiloendi ja marsruutimistabeli vahel ning otsingukäsk on kiireim viis näha, milline konkreetse sihtkoha puhul võidab. Kui otsing tagastab tunneliliidese, saadab klient paketi sinna. Kui see tagastab füüsilise adapteri, ei küsi klient kunagi VPN-ilt ja ükski serveripoolne luba ei muuda seda. Kontrollige sihtkohta, mida tegelikult vajate, mitte üldist avalikku aadressi.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Peatuge, kui otsing osutab valele liidesele. See on kliendi marsruutimise probleem ja seda parandatakse kliendis.

Miks maski laiendamine tavaliselt asja halvemaks teeb

Määramise muutmine /24-ks, et see näeks välja nagu kontori LAN, võib luua lülil prefiksi: tuum arvab nüüd, et terve /24 on otse tunneliliidese küljes. Liiklus aadressidele, mis peaks minema läbi lüüsi, saadetakse siis nii, nagu oleks naaber lülil. Tulemuseks on must auk, mis näeb välja nagu serveri rike.

See varjab ka tegelikku probleemi, milleks on puuduv marsruut või puuduv luba lüüsil. Kumbagi ei tekita laiem mask ja mõlemad jäävad muudatusest alles. Kui disain vajab liidesel suuremat prefiksit, on see otsus kasutatava liidesemudeli kohta, tehtud dokumentatsioon käes. Maski kopeerimine teise toote ekraanipiltidelt ei ole see otsus.

Kui kaugprefiksi marsruut puudub, parandage selle tagamine. Kui see on olemas ja ühendus lükatakse ikka tagasi, ei olnud mask kunagi diagnoos.

Kui marsruut on õige ja voog siiski ebaõnnestub

Õige marsruut tõestab ainult, et klient saadab paketi. Lüüs peab ikka sihtkoha vastu võtma, tagasitee peab määratud aadressi jaoks olemas olema ja teenus peab voolu lubama. Testige neid kolme eraldi: otsing klientis, lüüsi lubatud ulatus ja päring ühte vajalikku serverisse. Autentimise õnnestumine enne, kui kõik kolm paigas on, on tavaline, ja seetõttu ei pruugi ühendatud klient ikka millegini jõuda.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Hoidke võrguobjektid ja grupiload koos nende omanikuga seadme hallatavas teenuses. See, mida kliendil öeldakse saavutada, ja see, mida tal lubatakse kasutada, on eri seaded, sageli eri ekraanidel. Ühe muutmine ja teise testimine on see, kuidas pilet kahe meeskonna vahel põrkab.

Müüt, millest tuleks loobuda, on see, et mask on jõutavuse piir. Lugege aadressi, marsruute ja lüüsi poliitikat kolme eraldi faktina ning /32 lakkab nägemast piiranguna ja hakkab nägema tavapärase tunnelimääramisena.