Jou LAN-hosts in VPN-weromrûte mei DHCP-opsje 121

Fierte VPN-klanten ferbine, de LAN-tsjinner antwurdet, en it antwurd giet fia de gewoane internetrouter fuort en stjert dêr. Ien tsjinner kin mei in statyske rûte reparearre wurde, mar in hiel subnet dêrfan wurdt better behannele dêr't se al har netwurkynstelling krije. DHCPv4-opsje 121 ferspriedet krekt sa'n soart bestimmingsrûte, en dat is it part dat minsken meastentiids ferkeard dogge sa gau't se de standert ferjitte. It symptoom is ienrjochtingferkear: oanfragen komme oan en antwurden ferdwine.

Neam earst de trije adressen

Nim in konkreet LAN: 192.168.50.0/24 mei de gewoane standertrouter op 192.168.50.1 en in aparte VPN-gateway op 192.168.50.2. Autentisearre fierte klanten besette 10.90.0.0/24.

De rûte dy't elke meidwaande host nedich hat, is 10.90.0.0/24 via 192.168.50.2. It bestimming is de klantpool, en de folgjende hop is it LAN-adres fan 'e gateway, net syn tunneladres.

Kodearje it as in klassleaze statyske rûte

Opsje 121 draacht pearen fan foarheaksel en folgjende hop, en RFC 3442 definiearret sawol de kodearring as it klantgedrach dat dêrút folget. Foar in besteande dnsmasq-eksimplaar dat allinnich dit yllustrative LAN betsjinnet, is de foarm fan 'e konfiguraasje:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Dat is in fragmint, gjin nije DHCP-tsjinst. Op in tsjinner dy't ferskate segminten behannelet, beheinje de opsje mei de labels of it netwurkbelied dat jo al brûke. Hâld de foarige konfiguraasje by de hân, want weromdraaie betsjut noch in hierfernijing, gjin werstart.

Ferlies de standertrûte net

Dit is de falstrik. In klant dy't opsje 121 krijt, moat de gewoane Router-opsje negearje, dus allinnich de rûte fan 'e VPN-pool oankundigje kin dy host hielendal sûnder standertrûte litte. De masine liket noch konfigurearre en ferliest stil it ynternet. Brûkers beskriuwe dat as it netwurk leit wylst elke ynterface oan is.

Nim de bedoelde standert op yn deselde list, lykas it fragmint hjirboppe docht. Hâld ek de gewoane Router-opsje stean, foar klanten dy't klassleaze rûtes net ymplementearje; de eigen opsjebehanneling fan 'e tsjinner beslút wat nei wa giet.

Kontrolearje wat de klant akseptearret

In host mei in hânmjittich adres pakt dit nea op, want hy freget net om in hier. Klantstipe ferskilt ek, dus test op it bestjoeringssysteem dat jo echt draaie ynstee fan oan te nimmen dat elk apparaat opsje 121 respektearret. Befêstigje by wa't dy tsjinners besit hokker statysk adressearre binne. Dy hosts hawwe har eigen rûte-yngongen nedich of se dogge gewoan net mei.

Behearde DHCP-tsjinsten binne in oare grins. Guon cloudnetwurken litte behearders gjin willekeurige opsjes publisearje, en in konkurrearjende DHCP-tsjinner op itselde segmint is slimmer as hielendal gjin opsje.

Kontrolearje de hier, dan it sykjen

Lit de DHCP-eigner de feroaring tapasse, fernij dan de hier op in klant. Besteande hieren hâlde de âlde konfiguraasje oant se fernijd wurde, dus direkte resultaten binne net garandearre.

Lês op in Linux-klant de echte rûtes en befêstigje beide yngongen:

ip -4 route
ip -4 route get 10.90.0.23

It kontekstuele sykjen heart de rûte fan 'e pool fia 192.168.50.2 en de standert fia 192.168.50.1 te toanen. As de standert mist, hawwe jo de falstrik hjirboppe reprodusearre.

Test dan de echte útwikseling

Rûtefersprieding is net it hiele paad. De aparte gateway hat noch trochstjoering, eigendom fan fierte peers en in tagongsbelied dat de tsjinner tastiet nedich, en DHCP autentisearret nimmen.

Hâld ta beslút in ferwideringsplan. In learde statyske rûte lûkt himsels net werom as it VPN delgiet, dus in ferâldere folgjende hop kin dat foarheaksel lang nei it ferdwinen fan 'e tunnel in swart gat meitsje.