Donnez une route de retour VPN aux hôtes du LAN avec l'option 121 de DHCP

Les clients VPN distants se connectent, le serveur du LAN répond, et la réponse sort par le routeur internet ordinaire puis meurt là. Un serveur peut être corrigé avec une route statique, mais tout un sous-réseau de serveurs se gère mieux là où ils reçoivent déjà leur configuration réseau. L'option 121 de DHCPv4 distribue exactement ce genre de route de destination, et c'est la partie que les gens ratent généralement dès qu'ils oublient la route par défaut. Le symptôme est un trafic à sens unique : les requêtes arrivent et les réponses disparaissent.

Nommez d'abord les trois adresses

Prenez un LAN concret : 192.168.50.0/24 avec le routeur par défaut habituel à 192.168.50.1 et une passerelle VPN distincte à 192.168.50.2. Les clients distants authentifiés occupent 10.90.0.0/24.

La route dont chaque hôte participant a besoin est 10.90.0.0/24 via 192.168.50.2. La destination est le pool de clients, et le saut suivant est l'adresse LAN de la passerelle, pas son adresse de tunnel.

Encodez-la comme route statique sans classe

L'option 121 transporte des paires de préfixe et de saut suivant, et RFC 3442 définit à la fois l'encodage et le comportement client qui en découle. Pour une instance dnsmasq existante qui ne sert que ce LAN illustratif, la forme de la configuration est :

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

C'est un fragment, pas un nouveau service DHCP. Sur un serveur qui gère plusieurs segments, limitez l'option avec les balises ou la politique réseau que vous utilisez déjà. Gardez la configuration précédente sous la main, car revenir en arrière signifie un autre renouvellement de bail, pas un redémarrage.

Ne perdez pas la route par défaut

C'est le piège. Un client qui reçoit l'option 121 doit ignorer l'option Router ordinaire, donc n'annoncer que la route du pool VPN peut laisser cet hôte sans aucune route par défaut. La machine semble toujours configurée et perd silencieusement internet. Les utilisateurs décrivent cela comme un réseau en panne alors que toutes les interfaces sont actives.

Incluez la route par défaut voulue dans la même liste, comme le fait le fragment ci-dessus. Conservez aussi l'option Router ordinaire pour les clients qui n'implémentent pas les routes sans classe ; le traitement des options par le serveur décide de ce qui est envoyé à qui.

Vérifiez ce que le client acceptera

Un hôte à adresse manuelle ne récupère jamais cela, car il ne demande pas de bail. La prise en charge côté client varie aussi, alors testez sur le système d'exploitation que vous utilisez réellement au lieu de supposer que chaque appareil respecte l'option 121. Confirmez avec les propriétaires de ces serveurs lesquels ont une adresse statique. Ces hôtes ont besoin de leurs propres entrées de route, sinon ils ne participeront tout simplement pas.

Les services DHCP gérés sont une autre limite. Certains réseaux cloud ne laissent pas les administrateurs publier des options arbitraires, et un serveur DHCP concurrent sur le même segment est pire qu'aucune option du tout.

Vérifiez le bail, puis la recherche

Demandez au propriétaire du DHCP d'appliquer le changement, puis renouvelez le bail sur un client. Les baux existants conservent l'ancienne configuration jusqu'à leur renouvellement, les résultats immédiats ne sont donc pas garantis.

Sur un client Linux, lisez les routes réelles et confirmez les deux entrées :

ip -4 route
ip -4 route get 10.90.0.23

La recherche contextuelle devrait montrer la route du pool via 192.168.50.2 et la route par défaut via 192.168.50.1. Si la route par défaut manque, vous avez reproduit le piège ci-dessus.

Testez ensuite l'échange réel

La distribution des routes n'est pas tout le chemin. La passerelle distincte a encore besoin du transfert, de la propriété des pairs distants et d'une politique d'accès qui autorise le serveur, et DHCP n'authentifie personne.

Enfin, gardez un plan de retrait. Une route statique apprise ne se retire pas d'elle-même quand le VPN tombe, donc un saut suivant obsolète peut transformer ce préfixe en trou noir longtemps après la disparition du tunnel.