VPNak eta etxeko LANak azpisare bera dute: jarraitu ibilbidea lehenengo
Bi egokitzaileek 192.168.1.0/24 eskatzen dute eta ibilbide batek irabazten du. Egin egokitzaileen zerrenda, irabazlearen ibilbidea eta itzulera, zenbakitzen edo DNSari errua eman aurretik.
Bulegoko VPNra konektatzen zara, erretiluko ikonoa berde jartzen da, intraneta kargatzen da eta bi metrora dagoen inprimagailua erantzuteari uzten dio. Goizean funtzionatzen zuen partekatutako karpetak denbora-muga gainditzen du makina berean, eta inongo erregistrok ez du inprimagailurik aipatzen. Erreflexua DNSa da, ebazten ez den izenak existitzen ez den izenaren itxura baitu, baina arazoa helbidea da: bi egokitzailek 192.168.1.0/24 aldarrikatzen dute orain eta ibilbide bakarra gailentzen da aurrizki horretan. Jarraitu hurrenkera honetan eta ikusiko duzu zein egokitzailek hartu zuen, ezer aldatu aurretik.
Hasi sintomarekin, ez tunelarekin
Seinalea irismena da. Intranetak funtzionatzen badu eta tokiko gailu guztiek huts egiten badute, tunela osasuntsu dago eta tokiko bidea ez. Tokiko gailuek funtzionatzen badute eta intranetak huts egiten badu, alderantziz. Gailu bat izan ezik denak funtzionatzen badu, bi aldeetan dagoen helbide bakar baten aurrean zaude.
Idatzi tokiko helbide bat eta urruneko helbide bat ezarpenik ukitu aurretik. “Inprimagailua” ez da probagarria; 192.168.1.40 bai. Pauso bakar horrek arazo honetan galtzen den ordu ohikoena saihesten du, hau da, DNS ezarpenak berridaztea bideratze-erabaki batengatik.
1. pausoa: ikusi aurrizkia aldarrikatzen duten bi egokitzaileak
Ireki Sareko konexioak (ncpa.cpl) eta irakurri bi egokitzaileak elkarren ondoan. Ethernet egokitzaileak 192.168.1.50/24 erakusten du, 192.168.1.1 atebidearekin. VPN egokitzaileak 192.168.1.201/24 erakusten du, zerbitzariak bidalia. Biak dira legitimoak, biek uste dute aurrizkia on-link dela, eta pilak ibilbide bakarra gordeko du harekin.
Get-NetIPAddress -AddressFamily IPv4-k helbideak zerrendatzen ditu, eta Get-NetIPInterface | Sort-Object InterfaceMetric-ek pila horiek erabiliko dituen ordena erakusten du. Metrika-zutabe hori irakurtzear dagoen erabakia da, beraz idatzi zenbakiak, gogoratu beharrean.
Frogatu merkean DNSaren teoria faltsua dela: Resolve-DnsName printer.office.lan-ek atzo eman zuen helbide bera itzultzen du. Izena ebaztu zen; gero paketea egokitzaile okerretik atera zen. Hemen bi minutuk arratsalde bat aurrezten dute ebazlearen ezarpenetan.
2. pausoa: irakurri benetan irabazi zuen ibilbidea
Find-NetRoute -RemoteIPAddress 192.168.1.40-k pilak helbide horretarako erabiliko lukeen interfazea, hurrengo jauzia eta iturria inprimatzen ditu. Hartu irteera hori erantzun gisa, ez pista gisa. route print -4-k taula osoa ematen du zein sarrerak galdu duen eta zenbat galdu duen ikusi nahi duzunean.
Zehaztasunak asmoa gainditzen du. Bidaltzen den 192.168.0.0/25-ek tokiko 192.168.0.0/24 gainditzen du aurrizkia luzeagoa delako, beraz 192.168.0.0-tik 192.168.0.127-ra tunelatik irteten dira, goiko erdia tokiko geratzen den bitartean. LAN erdia errore-mezurik gabe desagertzea taula horren portaera zuzena da.
tracert -d 192.168.1.40-k taulatik kanpo baieztatzen du: lehen jauzia tuneleko helbidea bada zure router propioa beharrean, ibilbidea da istorio osoa. Linuxen galdera bera ip route get 192.168.1.40 da, iturburu-helbidea eta gailua lerro bakarrean inprimatzen dituena. Erantzunak tun0 aipatzen duenean, utzi nabigatzailera begiratzeari.
3. pausoa: egiaztatu itzulera bezeroari errua eman aurretik
Aurreranzko ibilbide zuzenak huts egiten du urruneko aldeak erantzun ezin badu. Bezero baten LANera tunelaren bidez iristen denean, LAN horren atebideak jakin behar du non dagoen tunelaren multzoa: ip route add 10.8.0.0/24 via 192.168.1.12 router horretan, eta push “route 192.168.1.0 255.255.255.0” zerbitzaritik, bezeroek itzulera ezagutu dezaten.
Lehen sarrerarik gabe, erantzunak helburua uzten du bere atebide lehenetsirantz, eta hark helbide pribatu bat hornitzaileari bidaltzen dio eta baztertu egiten du. Sintoma norabide bakarrekoa da eta erraz gaizki irakurtzekoa: eskaerak tun0-n agertzen dira, erantzunak inoiz ez.
VPN ostalarian masquerade arau batek ibilbide estatiko horren beharra kentzen du: iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE. Benetako iturburu-helbideak ere ezkutatzen ditu, eta horrek geroagoko erregistro-galdera bakoitza zailtzen du. Atebide lehenetsi okerra duen helburu-ostalariak isiltasun bera sortzen du, ICMP birbideratzearekin kasurik onenean eta zulo beltzarekin ohikoenean, eta horregatik harrapaketa bi muturretan dagokio.
4. pausoa: aukeratu bizitzeko moduko konponketa bat
Horretarako bost konponketa erabiltzen dira eta ez dira trukagarriak. Aukeratu aldi berean irisgarri egon behar duenaren arabera, ez zein komando den laburrena.
| Repair | What it fixes | What it costs |
|---|---|---|
| Flip interface metrics | Alternating access: office now, home later, never both | Get-NetAdapter -Name "Ethernet 2" | Set-NetIPInterface -InterfaceMetric 21; set the VPN adapter back to 5000. A client that rewrites metrics on connect defeats it |
| Renumber one side | Every host reachable in both directions | DHCP reservations, printer queues, firewall rules and hard-coded addresses all move |
| Narrow the advertised prefix | Remote hosts really live in the upper half | Breaks the day someone adds a host below the cut |
| Translate with client-nat | Both address plans stay untouched | Stateless per-client mapping, unreadable logs, anything embedding addresses breaks |
| Publish one service with DNAT | One service on the VPN host reachable from the LAN | Both address plans stay; source addresses and reverse lookups stop being meaningful |
Metrikak aukera merkea dira eta jendeak lehenengo jotzen duen hori. Aldaketak interfazeari eragiten dio, beraz tunela altxatuta dagoen bitartean funtzionatzen du, eta bezeroaren ondoan dagoen script batean dagokio, ahaztuko duzun shell batean beharrean. Ezin du bi sareetan helbide bererako aldibereko sarbiderik eman, eta hori da beste guztiak taularen behealdera bidaltzen dituen muga.
Etxeko LANari zenbakia aldatzea 10.10.0.0/24-ra da irtenbide garbia: DHCP kontzesioaren berritze bat gehi erreserbak, inprimagailu-ilarak eta tarte zaharra aipatzen duten helbide gogorrak. Bulegoko aldea zenbakitzea ez da normalean zure erabakia. IPv6k talka erabat ezabatzen du bi sareek daramatenean, fd00::/8-ko aurrizki lokal bakarra erabiliz gogoratzeko moduko zerbaiten ordez, baina probatu aplikazioa TCP bidez, ez ping batekin, ICMPk funtziona baitezake zerbitzuak huts egiten duen bitartean.
OpenVPNren beraren itzulpen-aukerak azken baliabidea da, zerbitzaritik bezeroaren direktorio-sarrera espezifiko batera bidalita. Aukera-izenaren ondoren lau parametro hartzen ditu — norabidea, sarea, maskara eta aliasa — eta aliasa ez da aukerakoa: push "route 192.168.2.0 255.255.255.0" eta push "client-nat dnat 192.168.2.0 255.255.255.0 192.168.1.0". Sarea eta maskara bezeroak ikusten duen tartea dira (192.168.2.0/24), aliasa zerbitzariaren aldeko benetako bulego-tartea da (192.168.1.0/24), eta bidalitako ibilbidea da tarte ikusgai hori irisgarri egiten duena. Bulegoa bezero horri 192.168.2.x azpian agertzen zaio orduan. Dokumentatu mapaketa profilean, bestela hurrengo pertsonak bideratze-hutsegi gisa araztuko du.
Zerbitzu bakarra argitaratzea itzulpenaren bertsio estua da eta ez du OpenVPNren aukerarik behar. VPN ostalarian DNAT arau batek ataka bakarra birargitaratzen du, beraz LANak bere helbideak gordetzen ditu eta jada ezagutzen duen ostalari-helbidean iristen da zerbitzura. Kostua ohikoa da: zerbitzuak VPN ostalaria iturburutzat ikusten du, beraz bezero bakoitzeko erregistroek eta alderantzizko bilaketek zentzua galtzen dute. Horrek inprimagailu-ilara bat edo administrazio-orri bat estaltzen du, ez bi aldeetako ostalariek elkar iristea.
Zer ez den oraindik funtzionatuko, eta zer erregistratu
Difusioak ez du bideratutako tunelik zeharkatzen. DLNA, UPnP, NetBIOS arakatzeak eta Wake-on-LANek tun gailuak eramaten ez duen broadcast edo multicastaren mende daude, beraz ibilbide batek ere ez du aurkikuntza konpontzen. dev tap-ekin zubiak segmentua luzatzen du, eta harekin DHCP broadcastak, ARPa eta beste edozein aurkikuntza-pakete; hobetsi unicast ostalari-ibilbidea, route 192.168.2.1 255.255.255.255 bezala, urruneko router baten LAN aldeko helbiderako.
Biek 192.168.1.1 bide berean erabiltzen duten bi router arazo-familia berekoak dira: tokiko helbideak beti irabazten du, beraz urruneko routerraren orria iristezina izaten jarraitzen du LAN bat mugitu arte. Bigarren egokitzaile bat gehitzeak ez du ezer aldatzen bi kasuetako batean ere.
Erregistratu frogak ezer editatu aurretik: ip route get edo Find-NetRoute, ping -c 3 dagokion helbidera, traceroute bat, eta tcpdump -ni tun0 icmp bezeroan, gero bideratze-taula eta NAT kontagailuak zerbitzarian. Norabide batean funtzionatzen duen eta bestean hiltzen den ping batek itzulerari erakusten dio, ez tunelari, eta bereizketa horrek bakarrik erabakitzen du goiko zein konponketa behar duzun.