Wêrom in folsleine-tunnel-VPN jo routearre lokale VLAN's ferbergt

De skeakel “allow local network” yn in VPN-klant klinkt as soe er alles yn it gebou dekke. Yn de praktyk foeget er meastentiids in pear útsûnderingen foar privee-adressen ta oan de standertrûte fan 'e tunnel en stopet dêr. Jo opslach-VLAN bliuwt allinnich berikber as in rûte foar dat spesifike foarheaksel de komst fan 'e tunnel oerlibbet, en by in protte klanten docht er dat net.

Dat is in fraach oer routing en net in VPN-ynstelling, wat goed nijs is: der is in konkreet antwurd.

Wat allow-local-network eins dekt

Klanten ymplementearje dy opsje ferskillend. Guon foegje rûtes ta foar it subnet dêr't de masine oan fêst sit, guon foegje de RFC 1918-berikken ta, en in pear slute allinnich de standertgateway út. Nimmen fan harren wit dat jo kantoarrouter ek in opslach-VLAN, in laboratoariumsegmint of in printer-subnet betsjinnet, want dy foarheaksels binne net op 'e tried dy't de klant sjocht. Lês de eigen dokumintaasje fan 'e klant foar it krekte gedrach ynstee fan oan te nimmen dat it label jo topology beskriuwt.

It ferskil is it wichtichst yn in folsleine-tunnel-ûntwerp, dêr't de klant mei opsetsin de standertrûte ferfangt sadat alle ferkear troch de VPN giet. Dat is it hiele doel fan it ûntwerp, en dat is ek wat de lokale routearre netwurken ferdwine lit. Se waarden nea troch in eigen rûte dekt; se rieden op 'e standertrûte dy't krekt ferfongen is. In klant kin net routearje wat er net wit dat bestiet, en hy leart allinnich foarheaksels dy't oan syn eigen ynterface ferbûn binne. Al it oare moat beskreaun wurde troch immen dy't de topology ken.

Ferbûne rûtes stopje by de earste router

In wurkstasjon op 192.168.10.20/24 mei gateway 192.168.10.1 krijt automatysk in ferbûne rûte foar 192.168.10.0/24. It opslach-VLAN op 192.168.20.0/24 is in oar foarheaksel, allinnich berikber fia dy gateway, en it wurkstasjon hat dêrfoar gjin rûte bûten de standert. Foardat de tunnel opkomt, stjoert de gewoane standertrûte it opslachferkear tafallich nei 192.168.10.1 en alles wurket.

As de VPN in folsleine-tunnel-standert ynstallearret, folgje pakketten foar 192.168.20.1 de nije standert de tunnel yn. De fiere gateway hat gjin idee wêr't dat foarheaksel wennet, dus hy smyt se fuort of stjoert se nei in nutteleas plak. Der wie neat ferkeard konfigurearre op it opslach-VLAN; syn paad wie liend, en de liening is weromfrege.

De ferlieding is om nei in brede útsûndering te gripen, lykas in pear rûtes /1 of in twadde standertrûte. Wjerstean dat. Hoe smeller de útsûndering, hoe makliker it is om har te ferklearjen, te kontrolearjen en te ferwiderjen as it netwurk feroaret.

Set de útsûndering yn 'e tabel dy't wint

Binnen ien routingstabel wint in /24 fan in /0 of in /1 troch de langste foarheaksel-oerienkomst, dus in spesifike rûte nei it opslach-VLAN fia de lokale gateway is genôch, mits de tabel hielendal besjoen wurdt. Op Linux is de gewoane foarm koart:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Beliedsrouting makket dy garânsje yngewikkelder. In eardere regel kin ferkear nei in tabel stjoere wêrfan't de eigen standertrûte de tunnel yn wiist, en de haadtabel mei jo /24 wurdt dan nea berikt. Kontrolearje de regels foardat jo oannimme dat de rûte gesachhawwend is, want in korrekt útsjende yngong yn 'e ferkearde tabel ferklearret in flater dy't as in brutsen rûte liket.

Meitsje de yngong dan permanint fia it troch de klant stipe meganisme of de netwurkbehearder dy't de ynterface hat. In rûte dy't yn 'e prompt typt is, ferdwynt by de folgjende werferbining, en in rûte bûn oan ien Wi-Fi-gateway is net oerdraachber nei it folgjende netwurk dat de laptop besiket.

Nammen en belied folgje gjin rûtes

It reparearjen fan 'e rûte herstelt pakketten, gjin nammen. As lokale apparaten oplost wurde fia in opkrongen resolver dy't neat fan harren wit, mislearret de mount noch hieltyd, sels as it adres berikber is. Lokale nammen hawwe in lokale of splitst-DNS-regeling nedich, en dat is in aparte beslissing fan 'e rûte-útsûndering.

Belied is wer apart. It filter foar lokale tagong fan in VPN-klant kin mei opsetsin ferkear nei privee-berikken ferbiede, en in rûte giet net oer dy regel hinne. Op in net fertrouber netwurk is in privee-adres ek gjin bewiis dat de bestimming jo opslachserver is, dus de útsûndering moat like spesifyk wêze as de rûte sels.

In kontrakt dat jo oerdrage kinne

It ôfmakke ûntwerp moat as in koarte list lêze: algemien ynternetferkear folget de tunnel, en dizze neamde lokale foarheaksels hâlde har paad fia de lokale router. Skriuw de foarheaksels, de folgjende hop en it DNS-efterheaksel dat derby heart op, en hâld de list koart genôch dat immen it kontrolearje kin sûnder in routingstabel te lêzen.

Pas op foar oerlap tusken lokale en fiere berikken. In opslach-VLAN dat in foarheaksel dielt mei eat efter de VPN sil oplost wurde nei de rûte dy't spesifyker is, en it resultearjende gedrach is betiizjend op in manier dy't tuskenskofts liket. Ien kant opnij nûmerje is meastentiids goedkeaper as de ûndúdlikheid foar altyd te debuggen.

Test it kontrakt twa kear: ien kear mei de tunnel omheech en ien kear mei de tunnel del. As it lokale paad allinnich yn ien fan dy tastannen wurket, is de útsûndering noch gjin kontrakt.