Zergatik tunel osoko VPN batek ezkutatzen ditu zure VLAN lokal bideratuak

VPN bezero bateko «allow local network» etengailuak eraikineko guztia hartzen duelakoan ematen du. Praktikan, normalean zenbait helbide pribaturen salbuespen gehitzen dizkio tunelaren bide lehenetsiari eta han geratzen da. Zure biltegiratze-VLANa irisgarri jarraitzen du soilik prefijo zehatz horretarako bide batek tunelaren etorrera gainditzen badu, eta bezero askotan ez du gainditzen.

Bideratze kontua da, ez VPN ezarpena, eta hori berri ona da: erantzun zehatza du.

Zer hartzen duen allow-local-network aukerak benetan

Bezeroek era desberdinetan ezartzen dute aukera hori. Batzuek makina konektatuta dagoen azpisarerako bideak gehitzen dituzte, beste batzuek RFC 1918 barrutiak gehitzen dituzte, eta gutxi batzuek atebide lehenetsia baino ez dute baztertzen. Horietako inork ez daki zure bulegoko routerrak biltegiratze-VLAN bat, laborategi-segmentu bat edo inprimagailuen azpisare bat ere zerbitzatzen duenik, prefijo horiek ez baitaude bezeroak ikus dezakeen kablean. Irakurri bezeroaren dokumentazioa jokabide zehatzaz, zure topologia etiketak deskribatzen duela suposatu beharrean.

Aldea garrantzitsuena da tunel osoko diseinuan, non bezeroak berariaz ordezten duen bide lehenetsia trafiko guztia VPN bidez joan dadin. Hori da diseinuaren helburu osoa, eta hori da bideratutako sare lokalak desagertarazten dituena. Inoiz ez zituzten bide propio batek estali; orain arte ordeztu berri den bide lehenetsian zihoazen. Bezeroak ezin du existitzen ez dakienik bideratu, eta bere interfazean lotuta dauden prefijoak baino ez ditu ikasten. Gainerako guztia topologia ezagutzen duen norbaiten deskribatu behar du.

Konektatutako bideak lehen routerrean gelditzen dira

192.168.10.20/24 helbidean dagoen lan-estazio batek, atebidea 192.168.10.1 duela, automatikoki lortzen du 192.168.10.0/24rako konektatutako bide bat. 192.168.20.0/24ko biltegiratze-VLANa beste prefijo bat da, atebide horren bidez soilik irisgarria, eta lan-estazioak ez du harekin biderik lehenetsia baino haratago. Tunela altxatu aurretik, bide lehenetsi arruntak biltegiratze-trafikoa 192.168.10.1era bidaltzen du kasualitatez eta dena funtzionatzen du.

VPNak tunel osoko bide lehenetsia instalatzen duenean, 192.168.20.1erako paketeek bide lehenetsi berria jarraitzen dute tunelera. Urruneko atebideak ez daki prefijo hori non bizi den, beraz paketeak baztertu edo toki alferrikaldera bidaltzen ditu. Ez zegoen ezer gaizki konfiguratuta biltegiratze-VLANean; haren bidea mailegatuta zegoen, eta mailegua itzultzeko eskatu da.

Temptazioa da salbuespen zabal bat hartzea, hala nola /1 bide-pare bat edo bigarren bide lehenetsi bat. Egin aurre. Salbuespena zenbat eta estuagoa izan, orduan eta errazagoa da azaltzea, ikuskatzea eta kentzea sarea aldatzen denean.

Jarri salbuespena irabazten duen taulan

Bideratze-taula bakarrean, /24 batek /0 edo /1 bat garaitzen du prefijorik luzeenaren bat-etortzeagatik, beraz biltegiratze-VLANerako bide zehatz bat nahikoa da tokiko atebidearen bidez, taula kontsultatzen bada. Linuxen ohiko forma laburra da:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Politika bidezko bideratzeak berme hori zailtzen du. Lehenagoko arau batek trafikoa tunelera seinalatzen duen bide lehenetsia duen taula batera bidal dezake, eta zure /24a duen taula nagusia ez da inoiz iristen. Egiaztatu arauak bidea autoritarioa dela suposatu aurretik, taula okerreko sarrera zuzenak dirudienak bide hautsia dirudien hutsegitea azaltzen baitu.

Gero egin itzazu sarrera iraunkor bezeroak onartzen duen mekanismoaren edo interfazea duen sare-kudeatzailearen bidez. Prompt-ean idatzitako bide bat desagertu egiten da hurrengo berkonexioan, eta Wi-Fi atebide bakar bati lotutako bidea ez da eramangarria ordenagailu eramangarriak bisitatzen duen hurrengo sarera.

Izenek eta politikak ez dituzte bideak jarraitzen

Bidea konpontzeak paketeak berreskuratzen ditu, ez izenak. Tokiko gailuak haiei buruz ezer ez dakien resolver inposatu baten bidez ebazten badira, muntaiak huts egiten jarraitzen du helbidea irisgarria izan arren. Tokiko izenek tokiko edo banatutako DNS antolaketa behar dute, eta hori bidearen salbuespenetik bereizitako erabakia da.

Politika berriz ere bereizia da. VPN bezero baten tokiko sarbide-iragazkiak berariaz debeka dezake barruti pribatuetarako trafikoa, eta bide batek ez du arau hori gainditzen. Sare ez-fidagarri batean, helbide pribatu bat ere ez da proba helmuga zure biltegiratze-zerbitzaria denik, beraz salbuespenak bidearen beraren bezain zehatza izan behar du.

Eman dezakezun kontratua

Amaitutako diseinuak zerrenda labur gisa irakurri behar du: internet trafiko orokorrak tunela jarraitzen du, eta tokiko prefijo izendatu hauek beren bidea mantentzen dute tokiko routerraren bidez. Idatzi prefijoak, hurrengo jauzia eta haiekin doan DNS atzizkia, eta mantendu zerrenda nahikoa labur norbaitek bideratze-taula irakurri gabe egiazta dezan.

Kontuz tokiko eta urruneko barrutien arteko gainjartzeekin. VPNaren atzean dagoen zerbaiti prefijo bat partekatzen dion biltegiratze-VLAN bat bide zehatzenaren arabera ebatziko da, eta ondoriozko jokabidea nahasgarria da tartekakoa ematen duen moduan. Alde bat berriz zenbakitzea merkeagoa izan ohi da anbiguotasuna betiko araztea baino.

Proba ezazu kontratua birritan: behin tunela altxatuta eta behin jaitsita. Tokiko bidea egoera horietako batean soilik funtzionatzen badu, salbuespena ez da oraindik kontratua.