It /32 fan de tunnel kopiearje rûtelet it kantoar-subnet net
It adres dat de VPN oan jo adapter jout, beskriuwt de ferbining, net de bestimming. Foegje it boarneprefiks ta oan it profyl en lit de standertrûte gewurde.
De VPN ferbynt, de ynterface toant in adres mei in masker fan twaentritich bits, en de kantoartsjinner bliuwt ûnberikber. De folgjende stap is faak dat masker opnij brûke yn in rûte, yn de teory dat de ynterface beskriuwt wat de tunnel berikke kin. Dat docht er net. Dat adres beskriuwt it lokale ein fan in punt-nei-punt-ferbining, en de bestimming dêr't jo om tinke, leit yn in oar prefiks oan ’e oare kant.
Twa ferskate dingen wurde trochinoar helle: it adres dat de tunnel jo joech, en it netwurk dêr't jo fia him komme wolle.
Twa adressen, twa taken
Op in punt-nei-punt-tunnel is it kliïntadres faak ien inkeld hostadres, om’t der krekt ien partner oan ’e oare kant fan ’e ferbining is. Der is gjin dield segmint en gjin ARP, dus in masker dat op Ethernet absurd lykje soe, is hjir folslein normaal.
It bestimmingsprefiks is in feit oer it kantoarnetwurk, net oer de tunnel. As jo ien tsjinner nedich hawwe, is de rûte in hostrûte foar dy tsjinner. As jo it hiele kantoar-subnet nedich hawwe, is de rûte it subnet. Gjin fan beide antwurden is fan ’e ynterface te lêzen, en ien kieze om’t it njonken it tunneladres ferskynde, is hoe’t in wurkjende opset brutsen wurdt.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Dy tredde rige is wêr’t optimisme in útfal wurdt. In hiel privee berik yn in tunnel triuwe dy’t mar ien lokaasje betsjinnet, skoot net-ferbûn ferkear op in paad dat it net leverje kin, en de resultearjende flaters lykje op in brutsen VPN ynstee fan in te brede rûte.
Kies it prefiks út ’e eask
Skriuw de eask as in sin foardat jo in profyl oanreitsje: hokker hosts moatte berikber wêze, en wat is it smelste prefiks dat se beslacht? Ien tsjinner is in hostrûte. In subnet is in subnetrûte. In berik fan subnets is in gearfetting, en in gearfetting is in belofte dat elk adres derbinnen berikber is, wat selden wier is.
Kontrolearje dan it getal tsjin wat it kantoar eins brûkt. In prefiks út in chatberjocht kopiearje sûnder it tsjin it adressearringsplan fan ’e lokaasje te befêstigjen, is hoe’t in rûte úteinlik nei in subnet wiist dat nimmen hat.
Tink der ek oan dat in rûte in paad is, gjin tastimming. De gateway beslút noch altyd oft jo kliïnt de bestimming brûke mei, en in tsjinst kin jo noch altyd wegerje. De rûte korrekt ynstallearje krijt it pakket dêr en antwurdet neat oer autorisaasje.
Foegje ta oan it profyl, ferfange it nea
Rûtes yn in NetworkManager-profyl binne in mearweardige eigenskip, en it ferskil tusken ynstelle en taheakje is ien teken. Brûk de plusfoarm om in ynfier ta te heakjen en alles te behâlden dat al bewarre is.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Sûnder de plus ferfangt de tawizing de hiele list. Op in profyl dat al ferskate prefiksen draacht, smyt dat stilwei dy fuort dy’t wurken, en it symptoom komt letter as in tsjinst dy’t earder fan dizze laptop berikber wie.
Brûk de UUID ynstee fan ’e namme. Nammen wurde nei weromsetten duplisearre, en de ferbining dy’t jo bewurkje is miskien net dy’t jo ferkear draacht. Kontrolearje earst op in besteande identike ynfier, want in duplikaat taheakje is ûnnoflik sels as it ûnskedlik is.
De referinsje foar rûte-eigenskippen dokumintearret de bestimming, de opsjonele folgjende hop, de metryske wearde en de attribút-syntaksis foar de ynstallearre ferzje. Lês it foardat jo in folgjende hop taheakje, want oft ien nedich is hinget ôf fan ’e yntegraasje en de topology, en it rieden út it earste adres yn in ynterfacelist is gjin metoade.
Standertrûte en DNS binne aparte besluten
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Automatyske rûtes binne it oare ding dat men net samar fersteure moat. Se ûnderdrukke om ien ûntbrekkende ynfier op te lossen kin ferskate wurkjende fuortsmite, en wa’t dat foarstelde, seach meastentiids nei in oar profyl mei oare pushes.
DNS hat syn eigen paad en syn eigen flaters. In namme dy’t fia de ferkearde resolfer nei it goede adres oplost, of in resolfer dy’t net foar de privee sône antwurdzje kin, sil as in rûteprobleem lykje wylst de rûte perfekt is. Test it adres en de namme apart, en beslút dan hokker laach eins mislearre.
Kontrolearje wat tapast is
In bewarre wiziging is gjin tapaste wiziging. Ferbyn op ’e nij fia de stipe libbenssyklus fan ’e behearder, en sjoch dan nei de werklike rûte foar de bedoelde bestimming en nei de beliedsregels dy’t beslute hokker tabel rieplachte wurdt.
As it prefiks der is en de ferbining mislearret noch, binne jo nei in oar probleem ferhuze: seleksje fan boarneadres, in weromrûte oan ’e fiere kant, of in tsjinst dy’t jo kliïnt wegeret. Elk dêrfan is in bettere plak om te sykjen as it profyl dat jo al korrizjearre hawwe.