Routerra VPN bezero moduan: zergatik desagertzen diren LAN gailuak
LAN gailuak desagertu egiten dira routerra VPN bezero moduan sartu ondoren: lehenik probatu birbidalketa bideko ikuskapen-funtzioa, gero firmwareak zure azpian aldatu duen LAN tartea.
Bezero moduak berak LAN sarbidea hiltzen duela sinesteak jendea okerreko ezarpen menura eramaten du, eta benetako arrazoiak normalean bi dira. Tunelak ez du LAN zubia kentzen ez eta kable bidezko zein haririk gabeko bezeroek elkar iristea eragozten. Sarbide lokala hausten duena routerraren birbidalketa bidean dagoen ikuskapen-funtzio bat da, edo firmwareak aldatu zuenean mugitu zen LAN helbide tartea. Biek kexa bera sortzen dute, eta bat ere ez da konpontzen VPN profila berriro instalatuta.
Mitoa, eta zer aldatzen duen bezero moduak benetan
Bezero moduak tunel interfaze bat eta haren bidez doan ibilbide lehenetsi bat gehitzen ditu, eta gero LAN trafikoa tunel horretara birbidaltzen du. Kable bidezko ataken eta haririk gabeko irratien arteko zubia ukitu gabe geratzen da, baita tokiko kommutazioa ere. Aldatzen dena politika da: zein trafiko birbidaltzen den, non itzultzen den eta zein resolver jasotzen duten bezeroek.
Ezberdintasun hori garrantzitsua da LAN hautsia izateak normalean hiru politika horietako bat aldatu zela esan nahi duelako, ez routerrak switch izateari utzi ziola. Bere administrazio orrialdeari oraindik erantzuten dion routerra frogantza da LAN interfazea bizirik dagoela. Ezer erantzuten ez duen routerrak beste arazo bat du, hala nola aldatutako LAN helbide bat edo azpisare okerrean dagoen bezero bat.
Beraz, lehen urrats erabilgarria zein geruza hautsi den aurkitzea da, susmatzen duzun geruza aldatzea ez.
Probatui hiru helburu ezarpen bat ukitu aurretik
Bezero kabledun batetik, probatu hiru helburu bereizita eta idatzi emaitza bakoitza: routerraren LAN helbidea, switch bereko beste gailu bat IP bidez, eta tunelaren bidez soilik iristeko modukoa den zerbait. Egin horrela, emaitza bakoitzak geruza desberdin bat baztertzen duelako. Lehen txandan helbideak erabili izenen ordez, izenaren hutsak DNS konektibitate galdera batean sartzen duelako.
Erantzunen eredua da diagnostikoa. Routerrak erantzuten duenean tokiko gailuek ez, tokiko kommutazioa edo iragazketa-funtzioa seinalatzen du, ez bideratzea. Tokiko gailuek erantzuten dutenean tunelaren aldeak ez, tunelaren ibilbidea edo urruneko suebakia seinalatzen dute. Dena helbidez erantzuten duenean izenak huts egiten duten bitartean, resolver kontua da, eta ibilbideak editatzeak ez du konponduko.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Eduki taula proben emaitzen ondoan. Kexa lausoa jarduteko moduko lerro bakarrera bihurtzen du.
Segurtasun geruza birbidalketa bidearen barruan
Kontsumo routerrek gero eta gehiago dute birbidalitako trafikoa zaintzen duen ikuskapen-funtzio bat, eta LANetik tunelera doazen paketeak daramatzan bide berean exekutatzen da. Ikuskapen horrek tunel trafikoa sailkatu ezin duenean, birbidalketa trabatu daiteke, tunela bera zutik geratzen den bitartean eta routerrak konexio osasuntsua jakinarazten duen bitartean. VPN erregistroan ezerk ez du hori erakusten, VPNak benetan konektatu zuelako.
Diagnostikoa kontrolatutako esperimentua da, ez aldaketa iraunkorra. Idatzi uneko ezarpena, itzali funtzioa proba baten iraupenerako, igorri tunela berriro eta probatu tokiko host bakar bat helbidez. Itzultzen den birbidalketa behar zenuen froga da, eta orduan konpromisoa erabaki bihurtzen da, asmatzearen ordez. Ezer aldatzen ez bada, berriro gaitu berehala eta jo helbideratzearen arrazora.
Segurtasun funtzio ordaindu bat desgaituta uztea tunelak funtzionatzen jarrai dezan deliberatuki egin eta idatzi beharreko konpromisoa da. Tunela beste gailu batean ote dagokion galdetzea ere merezi du, dena ikuskatu behar duen routerra eta dena birbidali behar duen routerra bi lan desberdinak direlako.
Bigarren arrazoia: LAN tartea mugitu zen
Firmware eguneratzeek LAN helbidea fabrikatzailearen lehenespenera itzultzen dute maiz, eta router batzuek modu etengailu esplizitua dute, LANak tarte pribatu bat mantentzen duen edo goragoko gailutik bat heredatzen duen erabakitzen duena. 192.168.8.x espero duen bezeroa 10.64.0.x eremuan amaitu daiteke, eta orduan host baterako SSH saioa iraungitzen da tunela erabat osasuntsua den arren.
ipconfig /all
ip addr show
ip route get 192.168.8.20Irakurri aurrizkia eta atebidea alokairutik routerraren orrialdea ireki aurretik. Lehen bi komandoek bezeroak benetan jaso zuena erakusten dute, eta hirugarrenak bezeroak helbide lokal baterako zein interfaze erabiliko lukeen, eta horrela agerian uzten du geratzen den ibilbide batek edo zaharkitutako azpisare batek. Gero alderatu hori LAN orrialdearekin eta routerra dagoen moduarekin.
Tartea ezin bada itzuli, eguneratu hura izendatzen duen objektu bakoitza: DHCP erreserbak, azpisare zaharrean sartzen den edozein ibilbide estatikoa eta aurreko aurrizkia daraman suebaki erregela bakoitza. Tunelaren urruneko azpisarearekin talka egiten duen tartea aldaera okerragoa da, tokiko gailuak irisgarri jarraitzen dutelako urruneko helmugak isilka LANera bideratzen diren bitartean.
Berriz konektatu eta probatu pakete ordenan
Bi aldaketetako baten ondoren, berriz konektatu tunela eta errepikatu probak pakete ordenan: routerra, tokiko hosta, urruneko hosta, gero izenak, gero aplikazioa. Aplikazioa lehenengo probatzeak ezkutatzen du zein geruza dagoen oraindik hautsi, eta cachean gordetako izen baten aurka nabigatzaileak berriz saiatzeak bideratze hutsegitea dirudi.
Idatzi firmware bertsioa, LAN aurrizkia eta ikuskapen-funtzioaren egoera VPN profilaren ondoan. Hirurak hurrengo eguneratzeak gainidatz ditzakeen konfigurazioa dira, eta bi lerro oharrek oraintxe igaro duzun ordua aurrezten dute.