Mac L2TP splitrûtes: wêrom't in hostadres net wurket

De VPN ferbynt, de menubalke lit it sjen, en in ynterne host rint dochs op in time-out. Yn dy situaasje binne der trije mooglike oarsaken, en hokker jildt hinget ôf fan hoe't de tunnel ynsteld wie. Of it rûtkommando brûkte in hostadres dêr't in netwurkadres nedich wie, of it profyl sels ynstallearret in standertrûte dy't de beslissing opslokt, of de klient is in PPP-tunnel dy't in heak nedich hat ynstee fan in profylkaai. Kontrolearje se yn dy folchoarder, want de earste is it bêst om út te sluten.

De bestimming is in netwurkadres, it masker beskriuwt it foarheaksel

networksetup -setadditionalroutes nimt trijelingen fan bestimming, subnetmasker en gateway. De oprop dy't ien yntern subnet troch de tunnel stjoert, sjocht der sa út:

sudo networksetup -setadditionalroutes "VPN (L2TP)" 192.168.1.0 255.255.255.0 10.2.0.0

Tink oan wat de bestimming is: it netwurkadres, net it adres fan 'e tsjinner dy't jo berikke wolle. Yn it gefal dat dit artikel makke, die itselde kommando mei 192.168.1.20 op dy posysje neat fertsjinstich, en it ferfangen troch 192.168.1.0 wurke fuortendaliks. Itsame masker, itselde gateway, ien oar nûmer. Dat is de hiele flater yn it lyts.

De reden is rekkenjen, net belied. In hostadres mei in /24-masker beskriuwt 192.168.1.0/24 net; it beskriuwt eat dat de rûttabel net nuttich hâlde kin, dat de ynstjoering wurdt wegere of negearre en de tunnel einiget mei it ferfieren fan minder as jo fan plan wiene.

As jo krekt ien host wolle, brûk dan it hostadres mei in masker fan 255.255.255.255. Gemakside pearen binne wêr't dit mis giet, net it brûken fan in hostadres as sadanich. In /32 boud út ien adres is in legitime rûte; in /24 boud út ien adres is in flater.

De oprop ferfangt de list, en de namme is letterlik

Twa gedrachsfoarmen ferrasse minsken by de earste poging. It kommando set de folsleine list fan ekstra rûtes ynstee fan ta te foegjen, dat in oprop dy't ien foarheaksel taheakket ferwideret stil de oaren dy't der earder wiene. Bou de hiele set yn ien oprop.

De tsjinstnamme is ek net it label dat jo betocht hawwe. Lês it út it ark en kopiearje it krekt, ynklusyf it type-efterheaksel:

networksetup -listallnetworkservices

In namme dy't mei ien teken ferskilt, jout gjin flater dy't it lêzen wurdich is en gjin rûte. Kopiearje en plakke is hjir de goede technyk, net op 'e nij typen út it ûnthâld.

As it profyl de standertrûte opeasket

Splitrûtes ferlieze fan in standertrûte foar elke bestimming dy't se net eksplisyt dekke, en in L2TP profyl ynsteld foar folsleine tunnel ynstallearret krekt dat. As it profyl seit dat alles troch de tunnel giet, feroaret de list fan ekstra rûtes hiel lyts. Jo ynstjoering is net ferkeard; it is gewoan net relevant foar de bestimmingen dy't it nea neamt. De kontrôle hjirfoar sit meastentiids yn 'e ynstelling fan it profyl om al it ferkear te stjoeren, net yn in rûtkommando.

Beslis hokker model jo echt wolle foardat jo mear ynstjoeringen bewurkje. Folsleine tunnel mei útsûnderingen is in oare konfiguraasje as split tunnel mei spesifike foarheaksels, en it mingen fan beide jout in tabel dy't nimmen foarsizze kin.

As de organisaasje in folsleine tunnel easket, stop dan mei it lokaal splitsen en bring de eask nei wa't it belied hat. In lokaal taheakke rûte dy't dat tsjinsprekt, sil dochs troch de folgjende profylfernijing fuorthelle wurde.

PPP-tunnels hawwe in heak nedich ynstee fan in kaai

Foar PPP-basearre tunnels is defaultroute de profylkaai dy't in standertrûte makket; lit it weil en de klient hâldt op mei it opeaskjen fan elke bestimming. Rûtes wurde dan taheakke neidat de ynterface ferskynt, meastentiids út /etc/ppp/ip-up:

#!/bin/sh
/sbin/route add -net 192.168.1.0 -interface ppp0

Hâld it skript yn eigendom fan root en útfierber, en foegje in wacht ta op 'e ynterfacenamme as der mear as ien tunnelprofyl op 'e masine is. In heak dy't foar elke PPP-keppeling rint en ien apparaatnamme oannimt, is in lytse flater mei in lang libben.

Ferifiearje de splitsing mei trije oanfragen

Fetsje de tabel wylst jo ferbûn binne en notearje hokker ynterface de tunnel betsjinnet. Kontrolearje dan de spesifike bestimming ynstee fan te fertrouwen op 'e útgongstatus fan it kommando dat it makke hat. In útgongskoado jout oan oft it ark de arguminten akseptearre hat, net oft it ferkear it paad nimt dat jo bedoelden.

Einigje mei trije oanfragen dy't de splitsing bewize: ien ynterne host op adres, ien ynterne namme fia de ynterne resolver en ien iepenbiere side dy't noch de lokale ferbining brûke moat. As de iepenbiere side no ek troch de tunnel giet, is de splitsing nea bard, wat de rûtelist ek liket te sizzen.

Ferbyn jitris en werhelje de ynterne oanfraach, want rûtes dy't mei de hân taheakke binne, kinne de ynterface oerlibje dy't se jildich makke hat en it ferkear stil in swart gat meitsje neidat de tunnel falt.