VPN-sovitin näyttää /32:n: se ei tarkoita yhtä kohdetta

Sovittimet näyttävät 255.255.255.255, ja usein päätellään, että VPN saavuttaa täsmälleen yhden osoitteen. Tämä luenta sekoittaa asiakkaan oman osoitteen tunnelin kautta reititettävien kohteiden joukkoon. Pisteestä pisteeseen -liitännässä tai reititetyssä liitännässä ne ovat kaksi eri objektia, ja vain toinen niistä rajoittaa saavutettavuutta. Myytti elää, koska maski näyttää siltä aliverkon maskilta, jonka ihmiset oppivat Ethernetissä.

Myytti: isäntämaski tarkoittaa yhtä saavutettavaa isäntää

/32-määritys kertoo liitännälle, mikä osoite kuuluu linkin tähän päähän, ja pisteestä pisteeseen -linkissä se on kaikki, mitä se tarkoittaa. Vastapuolen osoite on erillinen kenttä, ja reitit, jotka kertovat, mitä vastapuolen takana on, ovat taas erillisiä. Mikään maskissa ei kuvaa etäverkkoa, koska maski ei ole paikka, jossa etäverkkoja kuvataan. Sen lukeminen saavutettavuuden rajana on kuin lukisi oman talon numeron luettelona kaikista osoitteista, joissa saa vierailla.

Sekaanuksella on todellinen juuri: Ethernetissä isäntämaski todella tarkoittaisi yhtä ainoaa osoitetta siinä segmentissä. Tunneli ei ole Ethernet-segmentti, ja sen, mitä sen läpi kulkee, päättää asiakkaan reititystaulu, ei maski. Siksi sama /32 voi seisoa kokonaisen datakeskuksen edessä.

Lue osoite ja reitit erillisinä objekteina

Tulosta liitäntä ja taulu yhdessä ja lue ne sitten kahtena vastauksena kahteen kysymykseen. Osoite vastaa, kuka tämä pää on; reitit vastaavat, minne liikenne saa mennä. Kolmas kysymys, mitä kohteita yhdyskäytävä sallii, ei ole asiakkaalla lainkaan näkyvissä. iproute2:n osoiteviite kuvaa paikallisen osoitteen, vastapuolen ja etuliitereitin kentät erikseen juuri tästä syystä.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windowsissa sama jako on osoiteluettelon ja reititystaulun välillä, ja hakukomento on nopein tapa nähdä, kumpi voittaa tietyn kohteen kohdalla. Jos haku palauttaa tunneliliitännän, asiakas lähettää paketin sinne. Jos se palauttaa fyysisen sovittimen, asiakas ei koskaan kysy VPN:ltä, eikä mikään palvelinpuolen lupa muuta sitä. Tarkista kohde, jonka todella tarvitset, älä yleistä julkista osoitetta.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Pysähdy, jos haku osoittaa väärään liitäntään. Se on asiakkaan reititysongelma, ja se korjataan asiakkaassa.

Miksi maskin leventäminen yleensä pahentaa asiaa

Määrityksen muuttaminen /24:ksi, jotta se näyttäisi toimiston LANilta, voi luoda linkille etuliitteen: ydin uskoo nyt, että koko /24 on suoraan kytketty tunneliliitäntään. Liikenne osoitteisiin, jotka pitäisi reitittää yhdyskäytävän kautta, lähetetään silloin ikään kuin naapuri olisi linkillä. Tuloksena on musta aukko, joka näyttää palvelinkatkokselta.

Se myös kätkee todellisen ongelman eli puuttuvan reitin tai yhdyskäytävältä puuttuvan luvan. Kumpaakaan ei leveämpi maski luo, ja molemmat säilyvät muutoksen jälkeen. Jos suunnittelu tarvitsee liitännälle suuremman etuliitteen, se on päätös käytettävälle liitäntämallille, tehty dokumentaatio kädessä. Maskin kopioiminen toisen tuotteen kuvakaappauksista ei ole se päätös.

Jos etäetuliitteen reitti puuttuu, korjaa sen provisiointi. Jos se on olemassa ja yhteys hylätään silti, maski ei ollut koskaan diagnoosi.

Kun reitti on oikein ja virtaus silti epäonnistuu

Oikea reitti todistaa vain, että asiakas lähettää paketin. Yhdyskäytävän on yhä hyväksyttävä kohde, paluupolun on oltava olemassa määritetylle osoitteelle ja palvelun on sallittava virtaus. Testaa ne kolme erikseen: haku asiakkaassa, yhdyskäytävän sallittu laajuus ja pyyntö yhteen tarvittavaan palvelimeen. Todennuksen onnistuminen ennen kuin kaikki kolme ovat paikallaan on normaalia, ja siksi yhdistetty asiakas voi silti päästä ei mihinkään.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Pidä verkko-objektit ja ryhmäluvat omistajansa luona laitteen hallitsemassa palvelussa. Se, mitä asiakkaalle sanotaan saavutettavaksi, ja se, mitä sen sallitaan käyttävän, ovat eri asetuksia, usein eri näytöillä. Toisen muuttaminen ja toisen testaaminen on se, miten tiketti pomppii kahden tiimin välillä.

Myytti, joka pitää jättää eläkkeelle, on että maski on saavutettavuuden raja. Lue osoite, reitit ja yhdyskäytävän käytäntö kolmena erillisenä tosiasiana, niin /32 lakkaa näyttämästä rajoitukselta ja alkaa näyttää tavalliselta tunnelimääritykseltä.