Miksi täystunneli-VPN piilottaa reititetyt paikalliset VLANisi

VPN-asiakasohjelman ”allow local network” -kytkin kuulostaa siltä kuin se kattaisi kaiken rakennuksessa. Käytännössä se yleensä lisää muutaman yksityisosoitteiden poikkeuksen tunnelin oletusreitille ja pysähtyy siihen. Tallennus-VLANisi pysyy tavoitettavana vain, jos reitti juuri sille etuliitteelle selviää tunnelin saapumisesta, eikä monessa asiakasohjelmassa selviä.

Se on reitityskysymys eikä VPN-asetus, mikä on hyvä uutinen: sillä on konkreettinen vastaus.

Mitä allow-local-network oikeastaan kattaa

Asiakasohjelmat toteuttavat tämän asetuksen eri tavoin. Jotkut lisäävät reitit aliverkkoon, johon kone on kytketty, jotkut lisäävät RFC 1918 -alueet, ja muutama sulkee pois vain oletusyhdyskäytävän. Kukaan niistä ei tiedä, että toimistosi reititin palvelee myös tallennus-VLANia, laboratoriosegmenttiä tai tulostinaliverkkoa, koska nuo etuliitteet eivät ole kaapelilla, jonka asiakasohjelma näkee. Lue asiakasohjelman oma dokumentaatio tarkasta toiminnasta sen sijaan, että olettaisit tarran kuvaavan topologiaasi.

Ero on tärkein täystunneliratkaisussa, jossa asiakasohjelma korvaa tarkoituksella oletusreitin, jotta kaikki liikenne kulkee VPN:n kautta. Se on koko ratkaisun idea, ja juuri se saa paikalliset reititetyt verkot katoamaan. Niitä ei koskaan katettu omalla reitillä; ne kulkivat juuri korvatun oletusreitin päällä. Asiakasohjelma ei voi reitittää sitä, mitä se ei tiedä olevan olemassa, ja se oppii vain omaan liitäntäänsä liitetyt etuliitteet. Kaikki muu täytyy jonkun topologian tuntevan kuvailla.

Yhdistetyt reitit pysähtyvät ensimmäiselle reitittimelle

Työasema osoitteessa 192.168.10.20/24 ja yhdyskäytävällä 192.168.10.1 saa automaattisesti yhdistetyn reitin verkkoon 192.168.10.0/24. Tallennus-VLAN osoitteessa 192.168.20.0/24 on eri etuliite, tavoitettavissa vain tuon yhdyskäytävän kautta, eikä työasemalla ole sille reittiä oletusreitin lisäksi. Ennen kuin tunneli nousee, tavallinen oletusreitti lähettää tallennusliikenteen sattumalta osoitteeseen 192.168.10.1 ja kaikki toimii.

Kun VPN asentaa täystunnelin oletusreitin, paketit osoitteeseen 192.168.20.1 seuraavat uutta oletusreittiä tunneliin. Etäyhdyskäytävällä ei ole aavistustakaan, missä tuo etuliite sijaitsee, joten se pudottaa ne tai välittää ne hyödyttömään paikkaan. Tallennus-VLANissa ei ollut mitään väärin asetettu; sen polku oli lainattu ja laina perittiin takaisin.

Kiusaus on tarttua laajaan poikkeukseen, kuten /1-reittipariin tai toiseen oletusreittiin. Vastusta sitä. Mitä kapeampi poikkeus on, sitä helpompi se on selittää, tarkastaa ja poistaa verkon muuttuessa.

Laita poikkeus tauluun, joka voittaa

Yhden reititystaulun sisällä /24 voittaa /0:n tai /1:n pisimmällä etuliiteosumalla, joten tarkka reitti tallennus-VLANiin paikallisen yhdyskäytävän kautta riittää, edellyttäen että taulua ylipäätään kysytään. Linuxissa tavallinen muoto on lyhyt:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Politiikkapohjainen reititys monimutkaistaa tämän takuun. Aiempi sääntö voi lähettää liikenteen tauluun, jonka oma oletusreitti osoittaa tunneliin, eikä päätäulua, jossa /24:si on, silloin koskaan saavuteta. Tarkista säännöt ennen kuin oletat reitin olevan määräävä, koska oikealta näyttävä merkintä väärässä taulussa selittää vian, joka näyttää rikkinäiseltä reitiltä.

Tee merkinnästä sitten pysyvä asiakasohjelman tukeman mekanismin tai liitännän omistavan verkkohallinnan kautta. Komentokehotteeseen kirjoitettu reitti katoaa seuraavassa uudelleenyhdistämisessä, eikä yhteen Wi-Fi-yhdyskäytävään sidottu reitti siirry seuraavaan verkkoon, jossa kannettava käy.

Nimet ja politiikka eivät seuraa reittejä

Reitin korjaaminen palauttaa paketit, ei nimiä. Jos paikalliset laitteet ratkaistaan työnnetyn resolverin kautta, joka ei tiedä niistä mitään, liittäminen epäonnistuu silti, vaikka osoite olisi tavoitettavissa. Paikalliset nimet tarvitsevat paikallisen tai jaetun DNS-järjestelyn, ja se on erillinen päätös reittipoikkeuksesta.

Politiikka on taas erikseen. VPN-asiakasohjelman paikallisen käytön suodatin voi tarkoituksella kieltää liikenteen yksityisiin alueisiin, eikä reitti ohita sitä sääntöä. Epäluotetussa verkossa yksityinen osoite ei myöskään todista, että kohde on tallennuspalvelimesi, joten poikkeuksen tulisi olla yhtä tarkka kuin reitti itse.

Sopimus, jonka voit luovuttaa

Valmiin suunnitelman tulisi lukea lyhyenä listana: yleinen internettiliikenne seuraa tunnelia, ja nämä nimetyt paikalliset etuliitteet pitävät polkunsa paikallisen reitittimen kautta. Kirjoita etuliitteet, seuraava hyppy ja niihin kuuluva DNS-pääte, ja pidä lista niin lyhyenä, että joku voi tarkistaa sen lukematta reititystaulua.

Varo paikallisten ja etäalueiden päällekkäisyyttä. Tallennus-VLAN, joka jakaa etuliitteen VPN:n takana olevan kanssa, ratkeaa reitille, joka on tarkempi, ja tuloksena oleva käytös on hämmentävää tavalla, joka vaikuttaa ajoittaiselta. Toisen puolen uudelleennumerointi on yleensä halvempaa kuin epäselvyyden ikuinen selvittäminen.

Testaa sopimus kahdesti: kerran tunnelin ollessa ylhäällä ja kerran sen ollessa alhaalla. Jos paikallinen polku toimii vain toisessa näistä tiloista, poikkeus ei ole vielä sopimus.