Tunnelin /32:n kopioiminen ei reititä toimiston aliverkkoa
VPN:n adapterille antama osoite kuvaa linkkiä, ei kohdetta. Lisää resurssin etuliite profiiliin ja jätä oletusreitti rauhaan.
VPN yhdistyy, liitäntä näyttää osoitteen, jossa on kolmenkymmenenkahden bitin peite, ja toimiston palvelin jää tavoittamattomaksi. Seuraava askel on usein käyttää sama peite uudelleen reitissä, sillä teorialla, että liitäntä kuvaa, mihin tunneli voi päästä. Ei kuvaa. Osoite kuvaa pisteen ja pisteen välisen linkin paikallisen pään, ja kohde, josta välität, sijaitsee toisessa etuliitteessä sen toisella puolella.
Kaksi eri asiaa sekoitetaan: osoite, jonka tunneli antoi sinulle, ja verkko, johon haluat päästä sen kautta.
Kaksi osoitetta, kaksi tehtävää
Pisteestä pisteeseen -tunnelissa asiakkaan osoite on usein yksittäinen isäntäosoite, koska linkin toisessa päässä on täsmälleen yksi vastapuoli. Jaettua segmenttiä ei ole eikä ARP:ta, joten peite, joka näyttäisi Ethernetissä järjettömältä, on täällä täysin normaali.
Kohde-etuliite on tosiasia toimiston verkosta, ei tunnelista. Jos tarvitset yhden palvelimen, reitti on isäntäreitti sille palvelimelle. Jos tarvitset koko toimiston aliverkon, reitti on aliverkko. Kumpaakaan vastausta ei voi lukea liitännästä, ja toisen valitseminen siksi, että se ilmestyi tunnelin osoitteen viereen, on tapa rikkoa toimiva kokoonpano.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Kolmas rivi on paikka, jossa optimismista tulee käyttökatko. Koko yksityisen kantaman reitittäminen tunneliin, joka palvelee vain yhtä kohdetta, työntää asiaan kuulumatonta liikennettä polulle, joka ei voi toimittaa sitä, ja tuloksena olevat viat näyttävät rikkinäiseltä VPN:ltä eivätkä liian laajalta reitiltä.
Valitse etuliite vaatimuksesta
Kirjoita vaatimus lauseena ennen kuin kosket profiiliin: mitkä isännät on voitava tavoittaa, ja mikä on kapein etuliite, joka kattaa ne? Yksi palvelin on isäntäreitti. Aliverkko on aliverkkoreitti. Aliverkkojen alue on yhteenveto, ja yhteenveto on lupaus siitä, että jokainen osoite sen sisällä on tavoitettavissa, mikä on harvoin totta.
Tarkista sitten luku sitä vasten, mitä toimisto tosiasiassa käyttää. Etuliitteen kopioiminen chatviestistä vahvistamatta sitä kohteen osoitejärjestelyä vasten on tapa, jolla reitti päätyy osoittamaan aliverkkoon, jota kukaan ei omista.
Muista myös, että reitti on polku, ei lupa. Yhdyskäytävä päättää edelleen, saako asiakkaasi käyttää kohdetta, ja palvelu voi silti kieltäytyä sinusta. Reitin oikein asentaminen saa paketin perille eikä vastaa mitään valtuutuksesta.
Lisää profiiliin, älä koskaan korvaa sitä
NetworkManager-profiilin reitit ovat moniarvoinen ominaisuus, ja asettamisen ja lisäämisen ero on yksi merkki. Käytä plus-muotoa lisätäksesi merkinnän ja säilyttääksesi kaiken jo tallennetun.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Ilman plussaa asetus korvaa koko luettelon. Profiilissa, jossa on jo useita etuliitteitä, se poistaa hiljaisesti ne, jotka toimivat, ja oire saapuu myöhemmin palveluna, joka oli aiemmin tavoitettavissa tästä kannettavasta.
Käytä UUID:tä nimen sijaan. Nimet kahdentuvat palautusten jälkeen, eikä muokkaamasi yhteys välttämättä ole se, joka kuljettaa liikennettäsi. Tarkista ensin, onko olemassa jo samanlainen merkintä, sillä kaksoiskappaleen lisääminen on sotkuista silloinkin, kun se on harmitonta.
Tämä reittien ominaisuuksien viite dokumentoi kohteen, valinnaisen seuraavan hypyn, metriikan ja attribuuttien syntaksin asennetulle versiolle. Lue se ennen seuraavan hypyn lisäämistä, sillä sen tarpeellisuus riippuu integraatiosta ja topologiasta, eikä sen arvaaminen liitäntäluettelon ensimmäisestä osoitteesta ole menetelmä.
Oletusreitti ja DNS ovat erillisiä päätöksiä
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Automaattiset reitit ovat toinen asia, jota ei pidä häiritä huolettomasti. Niiden tukahduttaminen yhden puuttuvan merkinnän ratkaisemiseksi voi poistaa useita toimivia, ja sen ehdottanut henkilö katsoi yleensä toista profiilia, jossa oli toiset pushit.
DNS:llä on oma polkunsa ja omat vikansa. Nimi, joka ratkeaa oikeaan osoitteeseen väärän resolverin kautta, tai resolver, joka ei pysty vastaamaan yksityiselle vyöhykkeelle, näyttää reititysongelmalta, vaikka reitti on täydellinen. Testaa osoite ja nimi erikseen ja päätä sitten, mikä kerros todella petti.
Varmista, mitä otettiin käyttöön
Tallennettu muutos ei ole käyttöön otettu muutos. Yhdistä uudelleen hallinnan tuetun elinkaaren kautta ja katso sitten aiottun kohteen todellista reittiä ja niitä käytäntösääntöjä, jotka päättävät, mitä taulukkoa konsultoidaan.
Jos etuliite on paikallaan ja yhteys epäonnistuu edelleen, olet siirtynyt toiseen ongelmaan: lähdeosoitteen valinta, paluureitti kauempana päässä tai palvelu, joka kieltäytyy asiakkaastasi. Jokainen niistä on parempi paikka katsoa kuin profiili, jonka jo korjasit.