VPN-adapter lit /32 sjen: dat betsjut net ien bestimming

Adapters litte 255.255.255.255 sjen, en faak is de konklúzje dat de VPN krekt ien adres berikke kin. Dizze lêzing ferwart it eigen adres fan de klant mei de set bestimmingen dy’t troch de tunnel rûte wurde. Op in punt-nei-punt- of rûtearre ynterface binne de twa ferskillende objekten, en mar ien fan har beheint de berikberens. De myte hâldt stân omdat it masker liket op it subnetmasker dat minsken op Ethernet leard hawwe.

De myte: in hostmasker betsjut ien berikbere host

In /32-tawizing fertelt de ynterface hokker adres by dit ein fan ’e keppeling heart, en op in punt-nei-punt-keppeling is dat alles wat it betsjut. It adres fan de tsjinpartij is in apart fjild, en de rûtes dy’t sizze wat efter de tsjinpartij leit binne wer apart. Neat yn it masker beskriuwt it fiere netwurk, want it masker is net it plak dêr’t fiere netwurken beskreaun wurde. It lêze as in grins fan berikberens is as it lêzen fan dyn eigen hûsnûmer as in list fan alle adressen dy’tst besykje meist.

De betizing hat in echte woartel: op Ethernet soe in hostmasker wier ien inkeld adres op dat segmint betsjutte. In tunnel is gjin Ethernet-segmint, en wat der trochhinne giet beslút de rûtetabel fan de klant, net it masker. Dêrom kin itselde /32 foar in hiel datacenter stean.

Lês it adres en de rûtes as aparte objekten

Print de ynterface en de tabel tegearre, en lês se dan as twa antwurden op twa fragen. It adres antwurdet wa’t dit ein is; de rûtes antwurdzje wêr’t it ferkear hinne mei. In tredde fraach, hokker bestimmingen de gateway tastiet, is hielendal net sichtber op de klant. De adresreferinsje fan iproute2 beskriuwt de fjilden foar lokaal adres, tsjinpartij en prefiksrûte apart, krekt dêrom.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Op Windows bestiet deselde skieding tusken de adreslist en de rûtetabel, en it sykkommando is de fluchste manier om te sjen hokker wint foar in beskate bestimming. As it sykjen de tunnel-ynterface weromjout, sil de klant it pakket dêrhinne stjoere. As it de fysike adapter weromjout, freget de klant nea de VPN, en gjin inkelde tastimming oan ’e serverkant sil dat feroarje. Kontrolearje de bestimming dy’tst echt nedich hast, net in algemien iepenbier adres.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Stop as it sykjen nei de ferkearde ynterface wiist. Dat is in rûteprobleem fan ’e klant, en it wurdt op ’e klant reparearre.

Wêrom’t in breder masker it meastentiids slimmer makket

It feroarjen fan ’e tawizing nei in /24 sadat it op it kantoar-LAN liket, kin in prefiks op ’e keppeling meitsje: de kearn leaut no dat it hiele /24 direkt oan ’e tunnel-ynterface ferbûn is. Ferkear nei adressen dy’t troch de gateway rûte wurde moatten, wurdt dan stjoerd as wie der in buorman op ’e keppeling. It resultaat is in swart gat dat op in serverútfal liket.

It ferberget ek it echte probleem, nammentlik in ûntbrekkende rûte of in ûntbrekkende tastimming op ’e gateway. Gjin fan beide wurdt troch in breder masker makke, en beide oerlibje de feroaring. As it ûntwerp in grutter prefiks op ’e ynterface nedich hat, is dat in beslút foar it brûkte ynterfacemodel, nommen mei de dokumintaasje yn ’e hân. In masker kopiearje út skermfoto’s fan in oar produkt is dat beslút net.

As de rûte fan it fiere prefiks ûntbrekt, reparearje dan de foarsjenning derfan. As dy bestiet en de ferbining wurdt noch altyd wegere, wie it masker nea de diagnoaze.

As de rûte goed is en de stream dochs mislearret

In goede rûte bewiist allinnich dat de klant it pakket stjoere sil. De gateway moat de bestimming noch akseptearje, it werompaad moat foar it tawiisde adres bestean, en de tsjinst moat de stream tastean. Test dizze trije apart: it sykjen op ’e klant, it tastiene berik fan ’e gateway en in fersyk nei ien nedige server. Dat de autentikaasje slagget foar’t alle trije yn plak binne, is normaal, en dêrom kin in ferbûne klant noch altyd neat berikke.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Hâld netwurktopjekten en groeptastimmingen by har eigner op in tsjinst dy’t troch in apparaat beheard wurdt. Wat’t tsjin de klant sein wurdt te berikken en wat’t hy brûke mei, binne ferskillende ynstellings, faak op ferskillende skermen. It iene feroarje en it oare testen is hoe’t in ticket tusken twa teams hinne en wer springt.

De myte dy’t ôftsjin moat, is dat it masker in grins fan berikberens is. Lês it adres, de rûtes en it gatewaybelied as trije aparte feiten, en in /32 hâldt op te lykjen op in beheining en begjint te lykjen op in normale tunneltawizing.