Reititin VPN-asiakastilassa: miksi LAN-laitteet katoavat

Usko, että asiakastila itsessään tappaa LAN-yhteyden, johtaa ihmiset väärään asetusvalikkoon, ja todelliset syyt ovat yleensä kaksi. Tunneli ei poista LAN-siltaa eikä estä langallisia ja langattomia asiakkaita tavoittamasta toisiaan. Paikallisen yhteyden rikkoo joko reitittimen välityspolussa oleva tarkistusominaisuus tai LAN-osoitealue, joka siirtyi, kun laiteohjelmisto teki niin. Molemmat tuottavat saman valituksen, eikä kumpaakaan korjata asentamalla VPN-profiili uudelleen.

Myytti ja mitä asiakastila todella muuttaa

Asiakastila lisää tunneliliittymän ja oletusreitin, joka kulkee sen kautta, ja välittää sitten LAN-liikenteen siihen tunneliin. Silta langallisten porttien ja langattomien radioiden välillä pysyy koskemattomana, samoin paikallinen kytkentä. Muuttuu käytäntö: mikä liikenne välitetään, missä se käännetään ja minkä ratkaisijan asiakkaat saavat.

Tämä ero on tärkeä, koska rikkinäinen LAN tarkoittaa yleensä, että yksi noista kolmesta käytännöstä muuttui, ei että reititin lakkasi olemasta kytkin. Reititin, joka vastaa edelleen omaan hallintasivuunsa, todistaa, että LAN-liittymä on elossa. Reitittimellä, joka ei vastaa lainkaan mihinkään, on toinen ongelma, kuten muuttunut LAN-osoite tai asiakas väärässä aliverkossa.

Hyödyllinen ensimmäinen askel on siis löytää, mikä kerros rikkoutui, ei muuttaa kerrosta, jota epäilet.

Testaa kolme kohdetta ennen kuin kosket asetukseen

Testaa langallisesta asiakkaasta kolme kohdetta erikseen ja kirjoita jokainen tulos: reitittimen oma LAN-osoite, toinen laite samassa kytkimessä IP:n perusteella ja jotain, joka on tavoitettavissa vain tunnelin kautta. Tee ne tässä järjestyksessä, koska jokainen tulos sulkee pois eri kerroksen. Käytä ensimmäisellä kierroksella osoitteita nimien sijaan, koska nimen epäonnistuminen sekoittaa DNS:n yhteydenpitokysymykseen.

Vastausten kuvio on diagnoosi. Reititin, joka vastaa, kun paikalliset laitteet eivät vastaa, viittaa paikalliseen kytkentään tai suodatusominaisuuteen eikä reititykseen. Paikalliset laitteet, jotka vastaavat, kun tunnelin puoli ei vastaa, viittaavat tunnelireittiin tai etäpalomuuriin. Jos kaikki vastaavat osoitteella mutta nimet epäonnistuvat, se on ratkaisijakysymys, eikä mikään reittien muokkaus korjaa sitä.

Pidä taulukko testitulosten vieressä. Se muuttaa epämääräisen valituksen yhdeksi toimintakelpoiseksi riviksi.

Turvakerros välityspolun sisällä

Kuluttajareitittimiin tulee yhä useammin tarkistusominaisuus, joka seuraa välitettyä liikennettä, ja se toimii samassa polussa, joka kuljettaa paketteja LANista tunneliin. Kun tarkistus ei pysty luokittelemaan tunneliliikennettä, välitys voi juuttua, vaikka tunneli itse pysyy pystyssä ja reititin ilmoittaa terveestä yhteydestä. Mikään VPN-lokissa ei näytä tätä, koska VPN todella yhdisti.

Diagnoosi on kontrolloitu kokeilu, ei pysyvä muutos. Merkitse nykyinen asetus, kytke ominaisuus pois yhden testin ajaksi, nosta tunneli uudelleen ja testaa yhtä paikallista isäntää osoitteella. Takaisin tuleva välitys on tarvitsemasi todiste, ja silloin kompromissista tulee päätös arvauksen sijaan. Jos mikään ei muutu, kytke se heti takaisin ja siirry osoitteistuksen syyhyn.

Maksetun turvaominaisuuden jättäminen pois päältä, jotta tunneli jatkaa toimintaansa, on kompromissi, joka tehdään tarkoituksella ja kirjataan. Kannattaa myös kysyä, kuuluuko tunneli toiselle laitteelle, koska reititin, jonka on tarkistettava kaikki, ja reititin, jonka on välitettävä kaikki, ovat kaksi eri työtä.

Toinen syy: LAN-alue siirtyi

Laiteohjelmistopäivitykset palauttavat LAN-osoitteen rutiininomaisesti valmistajan oletukseen, ja joissakin reitittimissä on selkeä tilakytkin, joka päättää, säilyttääkö LAN yksityisen alueen vai periikö sen ylemmältä laitteelta. Asiakas, joka odottaa 192.168.8.x, voi päätyä 10.64.0.x-osoitteeseen, ja silloin SSH-istunto isäntään vanhenee, vaikka tunneli on täysin terve.

ipconfig /all
ip addr show
ip route get 192.168.8.20

Lue etuliite ja yhdyskäytävä vuokrasta ennen reitittimen sivun avaamista. Kaksi ensimmäistä komentoa näyttävät, mitä asiakas todella sai, ja kolmas näyttää, mitä liittymää asiakas käyttäisi paikalliseen osoitteeseen, ja juuri niin jäänyt reitti tai vanhentunut aliverkko paljastaa itsensä. Vertaa sitä sitten LAN-sivuun ja tilaan, jossa reititin on.

Jos alue ei voi palata, päivitä jokainen objekti, joka nimeää sen: DHCP-varaukset, mikä tahansa staattinen reitti vanhaan aliverkkoon ja jokainen palomuurisääntö, joka kantaa aiempaa etuliitettä. Alue, joka törmää tunnelin etäaliverkkoon, on ikävämpi variantti, koska paikalliset laitteet pysyvät tavoitettavina, kun taas etäkohteet ohjataan hiljaa LANiin.

Yhdistä uudelleen ja testaa uudelleen pakettijärjestyksessä

Kumman tahansa muutoksen jälkeen yhdistä tunneli uudelleen ja toista testit pakettijärjestyksessä: reititin, paikallinen isäntä, etäisäntä, sitten nimet, sitten sovellus. Sovelluksen testaaminen ensin kätkee, mikä kerros on vielä rikki, ja selaimen uusintayritys välimuistiin tallennettua nimeä vastaan voi näyttää reititysvirheeltä.

Kirjaa laiteohjelmistoversio, LAN-etuliite ja tarkistusominaisuuden tila VPN-profiilin viereen. Kaikki kolme ovat asetuksia, jotka seuraava päivitys voi kirjoittaa yli, ja kahden rivin muistiinpanot säästävät juuri viettämäsi tunnin.