Anna LAN-isännille VPN-paluureitti DHCP-vaihtoehdolla 121

Etäiset VPN-asiakkaat yhdistävät, LAN-palvelin vastaa, ja vastaus lähtee tavallisen internet-reitittimen kautta ja kuolee sinne. Yksi palvelin voidaan korjata staattisella reitillä, mutta kokonainen aliverkko niitä on parempi hoitaa siellä, missä ne jo saavat verkkokokoonpanonsa. DHCPv4:n vaihtoehto 121 jakaa juuri sellaisen kohdereitin, ja se on se osa, jonka ihmiset yleensä saavat väärin heti unohtaessaan oletuksen. Oire on yksisuuntainen liikenne: pyynnöt saapuvat ja vastaukset katoavat.

Nimeä ensin kolme osoitetta

Ota konkreettinen LAN: 192.168.50.0/24, tavallinen oletusreititin osoitteessa 192.168.50.1 ja erillinen VPN-yhdyskäytävä osoitteessa 192.168.50.2. Todennetut etäasiakkaat varaavat 10.90.0.0/24.

Reitti, jonka jokainen osallistuva isäntä tarvitsee, on 10.90.0.0/24 via 192.168.50.2. Kohde on asiakasryhmä, ja seuraava hyppy on yhdyskäytävän LAN-osoite eikä sen tunneliosoite.

Koodaa se luokattomaksi staattiseksi reitiksi

Vaihtoehto 121 kuljettaa etuliite- ja seuraavahyppy-pareja, ja RFC 3442 määrittelee sekä koodauksen että siitä seuraavan asiakaskäyttäytymisen. Olemassa olevalle dnsmasq-instanssille, joka palvelee vain tätä havainnollista LANia, kokoonpanon muoto on:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Tuo on katkelma, ei uusi DHCP-palvelu. Palvelimella, joka hoitaa useita segmenttejä, rajaa vaihtoehto tunnisteilla tai verkkokäytännöllä, jota jo käytät. Pidä edellinen kokoonpano käsillä, sillä takaisin kääntäminen tarkoittaa yhtä vuokran uusimista lisää, ei uudelleenkäynnistystä.

Älä menetä oletusreittiä

Tässä on ansa. Asiakkaan, joka vastaanottaa vaihtoehdon 121, on jätettävä tavallinen Router-vaihtoehto huomiotta, joten vain VPN-ryhmän reitin mainostaminen voi jättää kyseisen isännän kokonaan ilman oletusreittiä. Kone näyttää yhä määritellyltä ja menettää hiljaa internetin. Käyttäjät kuvaavat sitä verkon kaatumisena, vaikka jokainen liitäntä on ylhäällä.

Sisällytä aiottu oletus samaan luetteloon, kuten yllä oleva katkelma tekee. Pidä myös tavallinen Router-vaihtoehto paikallaan asiakkaille, jotka eivät toteuta luokattomia reittejä; palvelimen oma vaihtoehtojen käsittely päättää, mitä kenelle lähetetään.

Tarkista, mitä asiakas hyväksyy

Käsin osoitettu isäntä ei koskaan nappaa tätä, koska se ei pyydä vuokraa. Myös asiakastuki vaihtelee, joten testaa käyttöjärjestelmällä, jota todella ajat, sen sijaan että olettaisit jokaisen laitteen noudattavan vaihtoehtoa 121. Varmista näiden palvelimien omistajilta, mitkä niistä on osoitettu staattisesti. Ne isännät tarvitsevat omat reittimerkintänsä tai ne eivät yksinkertaisesti osallistu.

Hallinnoidut DHCP-palvelut ovat toinen raja. Jotkin pilviverkot eivät anna ylläpitäjien julkaista mielivaltaisia vaihtoehtoja, ja kilpaileva DHCP-palvelin samassa segmentissä on pahempi kuin ei vaihtoehtoa lainkaan.

Varmista vuokra ja sitten haku

Pyydä DHCP:n omistajaa soveltamaan muutos ja uusi sitten vuokra asiakkaalla. Olemassa olevat vuokrat pitävät vanhan kokoonpanon, kunnes ne uusitaan, joten välittömät tulokset eivät ole taattuja.

Lue Linux-asiakkaalla todelliset reitit ja vahvista molemmat merkinnät:

ip -4 route
ip -4 route get 10.90.0.23

Kontekstihaku näyttää ryhmän reitin 192.168.50.2 kautta ja oletuksen 192.168.50.1 kautta. Jos oletus puuttuu, olet toistanut yllä olevan ansan.

Testaa sitten todellinen vaihto

Reittien jakelu ei ole koko polku. Erillinen yhdyskäytävä tarvitsee yhä edelleenlähetyksen, etävertaisten omistajuuden ja käyttöoikeuskäytännön, joka sallii palvelimen, eikä DHCP todista ketään.

Pidä lopuksi poistamissuunnitelma. Opittu staattinen reitti ei peru itseään, kun VPN kaatuu, joten vanhentunut seuraava hyppy voi tehdä etuliitteestä mustan aukon kauan sen jälkeen, kun tunneli on kadonnut.