Ez dabil Wake-on-LAN VPN bidez? Igorea ez da inoiz zeharkatzen

Bulegoko makina lozorroan jartzen duzu, etxetik VPN-ra deitzen duzu, eta itzalita jarraitzen du. Tunela altxatuta dago, fitxategi-partekalekuak erantzuten du, eta routerraren wake-on-LAN orrialdeak eskaera bidali duela dio. Ikus daitekeen seinale orok dio sareak ondo dagoela, eta horrexegatik da nahasia kasu hau: makina esnatuko lukeen markoa ez da inoiz iristen hura dagoen segmentura.

Sintomek azpisarerantz seinalatzen dute, ez tunelarantz

Lo dagoen ostalariaren aurkako ping-ak huts egiten du, eta zati hori normala da. Egonean dagoen makinak ez du IP pila martxan, beraz ezin dio ARP edo ICMP-ri erantzun, eta ez du tunelaren konfigurazioak hori aldatzen. Erabilgarria den proba da ea LAN bereko bigarren makina bat esnatzen den, eta routerraren beraren esnatze-orrialdeak hara konektatutako ostalariarekin funtzionatzen duen.

Segmentu bereko proba gainditzen denean, akatsa irismenean dago. Erabiltzen ari zaren igorlea VPN interfazean bizi da, eta hark eraikitzen duen paketea tokiko loturarako igorea da, beraz interfaze okerretik ateratzen da edo ez da batere ateratzen. Tunela ez dago hautsita; mota okerreko trafikoa darama. Aurkitu igorleak zein interfaze hautatzen duen routerraren ezarpen bat ere aldatu aurretik.

magic packet marko bat da, ez zerbitzua

Karga sei byteko goiburu finko batekin hasten da, 0xFF, gero helburuko txartelaren hardware helbidea hamasei aldiz errepikatzen da, gero hautazko lau byteko SecureOn pasahitza dator. Igorleek normalean UDP barruan biltzen dute eta 7 portura edo 9 portura bidaltzen dute, baina portu-zenbakia igorlearen eta txartelaren arteko hitzarmena da, ez konekta daitekeen entzule bat. Ezer ez dago entzuten, eta ezerk ez du erantzuten.

Makina sareko interfazeak esnatzen du, eta hark zirkuitu zati txiki bat elikatzen du egoneko errailetik sistema osoa itzalita dagoen bitartean. Beraz, ezarpenak huts egindako argindar-galerari eta loari ere eutsi behar die: itzaltzean egoneko argindarra mozten duen plakak ez du ezer jasoko lukeen txartelik.

Zergatik ezin duen tunel bideratuak hura entregatu

VPN interfaze bideratua bi tunel helbideren arteko puntutik punturako IP lotura da. Pareari zuzendutako paketeak eramateko dago, eta horregatik ping-ak, SSHk eta fitxategi-partekalekuak normaltasunez jokatzen du haren bidez. Igore-markoa ez dago pare horri zuzenduta, eta igorpen helbide mugatua ez du routerrak inoiz automatikoki aurrera eramaten.

Azpisarerantz doan igorea aurrera eramatea routerraren gaitasun nahita erantsia da eta konfigurazio lehenetsi gehienek itzaltzen dute, eta orduan ere azpisare horretara eramaten du, ez lo dagoen txartel jakin batera. Lo dagoen ostalariak ezin dio ARP-ri ere erantzun, beraz aurrera eraman aurretik helburu-helbidea ebazten saiatzen den routerrak markoa botatzen du inoiz etorriko ez den erantzun baten zain. Esteka estatikoaren sarrera batek zati hori konpontzen du eta igorpenaren irismenaren arazoa ukitu gabe uzten du. Beraz, bi murrizketa bereizi, eta bata kentzeak ez dio besteari ezer egiten.

Txartelera benetan iristen diren hiru kokapen

Edozein antolaketa erabilgarrik markoa helburuaren segmentuan jartzen du, eta sareari zenbat eragozten dioten bereizten dira:

1. Jarri beti piztuta dagoen gailu bat helburu-segmentuan. Argindarrean jarraitzen duen router batek, NAS batek edo Linux kaxa txiki batek tokian bertan igor dezake markoa, tuneletik hara iristen zarenean, eta VPN-ean ezer ez da aldatzen.
2. Utzi routerrari markoa berak igortzen. Firmware askok LAN zubitik bidaltzen duen esnatze-orrialde bat eskaintzen du, eta horrek funtzionatzen du helburua zubi horretan dagoen bitartean eta bigarren router baten atzean ez badago.
3. Zubiratu kokapenak TAP motako tunel batekin igorpenek benetan zeharkatu behar dutenean. Horrek igorpen-domeinu bi bateratzen ditu, ekaitz-ehunarekin, helbide-plan bakarrarekin eta bi kokapenak aldi berean ikusten dituen aurkikuntza-protokolo bakoitzarekin.

Lehen aukera da makina bakarrerako hobesteko. Hirugarrena etengabeko kostua duen sare-diseinuko erabakia da, beraz trata ezazu halakotzat, eta ez mahaigain bakarrerako konponketa bizkor gisa.

Idatzi zein laguntzailek igortzen duen markoa eta zein zubitan edo VLANean dagoen. Interfaze okerretik igortzen duen laguntzaileak harrapaketa ezin hobea eta inoiz esnatzen ez den makina ematen ditu, eta konbinazio horrek arratsalde bat jaten du.

Egiaztatu bidalketa bezeroari errua eman aurretik

Egiaztatu helburuko txartela lehenengo, ez baitago inor prest ez dagoen txartel bat esnatuko duen igorlerik. Beheko aginduak onartutako eta uneko esnatze-moduak irakurtzen ditu, eta uneko g balioak magic packet piztuta dagoela esan nahi du:

ethtool enp3s0 | grep -A1 'Wake-on'
ip neigh show 192.168.1.50
tcpdump -ni br0 -e 'ether broadcast and udp dst port 9'
etherwake -i br0 3c:7c:3f:00:11:22

Exekutatu harrapaketa laguntzailean bidalketa gertatzen den bitartean, eta irakurri ezazu arrakasta suposatu beharrean. Zubi egokitik igorpen-helburuko MACarekin ateratzen den markoa da bidalketak funtzionatu duen froga bakarra; harrapaketa hutsa bada, igorleak beste interfaze bat aukeratu du eta gainerako probak ez du zentzurik. UDP datagrama ordez marko gordina eraikitzen duen igorlea ez dator bat iragazki horrekin, beraz egiaztatu zure tresnak zein forma erabiltzen duen ezer bidali ez zela ondorioztatu aurretik.

Windows-en txartelaren egiaztapen baliokidea powercfg /devicequery wake_armed da, eta sistema esnatzeko baimena duten gailuak zerrendatzen ditu. Zerrenda horretan ez dagoen sare-txartelak berari bidalitako pakete guztiak ez ditu kontuan hartuko, kablean markoa zenbat eta zuzenagoa izan.

Ondoren egiaztatu esnatzea bera eta segida. Pizten den baina izenez iristezina jarraitzen duen makinak helbide estatikoa eta DNS erregistroa behar ditu, igorpen bidezko izen-ebazpenak ez baitu oraindik tunela zeharkatzen. Haririk gabeko esnatzea gaitasun bereizia da eta ez da askoz fidagarriagoa haridun bertsioa baino, beraz proba ezazu segmentu berean VPN-a tartean sartu aurretik. Idatzi interfazearen izena eta laguntzailearen ostalaria txartelean, hurrengo hutsak gehienetan bi datu horiek berak ukitzen baititu.