VPN agus LAN an tí ar an bhfoshruth céanna: siúil an bealach ar dtús
Éilíonn an dá oiriúnóir 192.168.1.0/24 agus ní bhaineann ach bealach amháin. Siúil liosta na n-oiriúnóirí, an bealach buaite agus an bealach ar ais sula n-athuimhríonn tú nó sula gcuireann tú an milleán ar DNS.
Ceanglaíonn tú le VPN na hoifige, iompaíonn an deilbhín sa tráidire glas, lódálann an inlíon, agus stopann an printéir dhá mhéadar uait ag freagairt. Téann an sciar a d'oibrigh ar maidin in am istigh ar an meaisín céanna, agus ní luann aon logáil printéir. Is é DNS an freagairt réadúil, mar breathnaíonn ainm nach réitítear cosúil le hainm nach bhfuil ann, ach is í an seoladh an fhadhb: tá dhá oiriúnóir ag éileamh 192.168.1.0/24 anois agus ní féidir ach le bealach amháin an réimír sin a bhaint. Siúil é san ord seo agus feicfidh tú cé acu oiriúnóir a ghlac é sula n-athraíonn tú rud ar bith.
Tosaigh ag an tsíomptaíocht, ní ag an tollán
Is é an raon an leid. Má oibríonn an inlíon agus má chliseann gach gléas áitiúil, tá an tollán sláintiúil agus níl an cosán áitiúil. Má oibríonn gléasanna áitiúla agus má chliseann an inlíon, a mhalairt. Má oibríonn gach rud seachas aon óstach amháin, tá tú ag féachaint ar aon seoladh amháin atá ar an dá thaobh.
Scríobh síos seoladh áitiúil amháin agus seoladh cianda amháin sula ndéanann tú teagmháil le socrú. Ní féidir “an printéir” a thástáil; is féidir 192.168.1.40 a thástáil. Coisceann an chéim amháin sin an uair is mó a chuirtear amú leis an bhfadhb seo, is é sin socruithe DNS a athscríobh ar son cinneadh ródaithe.
Céim 1: feic an dá oiriúnóir ag éileamh na réimíre
Oscail Connections Network (ncpa.cpl) agus léigh an dá oiriúnóir taobh le taobh. Taispeánann an t-oiriúnóir Ethernet 192.168.1.50/24 le geata 192.168.1.1. Taispeánann an t-oiriúnóir VPN 192.168.1.201/24, brúite ag an bhfreastalaí. Tá an dá cheann dlisteanach, creideann an dá cheann go bhfuil an réimír on-link, agus coinneoidh an stac aon bhealach amháin di.
Liostaíonn Get-NetIPAddress -AddressFamily IPv4 na seoltaí, agus taispeánann Get-NetIPInterface | Sort-Object InterfaceMetric an t-ord ina n-úsáidfidh an stac iad. Is é an colún méadrach sin an cinneadh atá ar tí tú a léamh, mar sin scríobh síos na huimhreacha seachas iarracht a dhéanamh iad a mheabhrú.
Cruthaigh go saor go bhfuil teoiric DNS mícheart: filleann Resolve-DnsName printer.office.lan an seoladh céanna a d'fhill sé inné. Réitíodh an t-ainm; ansin d'fhág an paicéad tríd an oiriúnóir mícheart. Sábhálann dhá nóiméad anseo tráthnóna i socruithe an réiteora.
Céim 2: léigh an bealach a bhuaigh i ndáiríre
Priontálann Find-NetRoute -RemoteIPAddress 192.168.1.40 an comhéadan, an chéad chéim eile agus an fhoinse a d'úsáidfeadh an stac don seoladh sin. Caith leis an aschur sin mar an freagra, ní mar leid. Tugann route print -4 an tábla iomlán nuair a theastaíonn uait a fheiceáil cén iontráil a chaill agus cé mhéad.
Buaileann sonrachas an rún. Buaileann 192.168.0.0/25 brúite 192.168.0.0/24 áitiúil mar go bhfuil an réimír níos faide, mar sin téann 192.168.0.0 go 192.168.0.127 amach tríd an tollán agus fanann an leath uachtarach áitiúil. Is é an t-iompar ceart don tábla sin go n-imíonn leath LAN gan teachtaireacht earráide.
Deimhníonn tracert -d 192.168.1.40 é ón taobh amuigh den tábla: má tá an chéad chéim ina seoladh tolláin seachas do ródaire féin, is é an bealach an scéal ar fad. Ar Linux is é ip route get 192.168.1.40 an cheist chéanna, a phriontálann seoladh foinse agus gléas ar aon líne amháin. Nuair a luann an freagra tun0, stop ag féachaint ar an mbrabhsálaí.
Céim 3: seiceáil an bealach ar ais sula gcuireann tú an milleán ar an gcliaint
Teipeann ar bhealach tosaigh ceart fós mura féidir leis an taobh cianda freagairt. Nuair a shroichtear LAN cliaint tríd an tollán, caithfidh geata an LAN sin a bheith ar an eolas faoin áit a bhfuil linn an tolláin: ip route add 10.8.0.0/24 via 192.168.1.12 ar an ródaire sin, agus push “route 192.168.1.0 255.255.255.0” ón bhfreastalaí ionas go mbeadh an bealach ar ais ar eolas ag na cliaint.
Gan an chéad iontráil fhágann an freagra an sprioc i dtreo a gheata réamhshocraithe, a sheolann seoladh príobháideach chuig an soláthraí agus a scaoileann é. Tá an tsíomptaíocht aontreo agus éasca a mhíléamh: feictear iarratais ar tun0, ní fheictear freagraí riamh.
Baineann riail masquerade ar óstach an VPN an gá don bhealach statach sin: iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE. Folaíonn sé freisin na fíor-sheoltaí foinse, rud a dhéanann gach ceist logála níos déanaí níos deacra. Táirgeann óstach sprice le geata réamhshocraithe mícheart an chiúnas céanna, le atreorú ICMP sa chás is fearr agus poll dubh sa ghnáthchás, agus is ar an ábhar sin gur cheart an gabháil a dhéanamh ag an dá cheann.
Céim 4: roghnaigh deisiúchán is féidir leat maireachtáil leis
Úsáidtear cúig dheisiúchán chuige seo, agus ní féidir iad a mhalartú. Roghnaigh de réir an rud a chaithfidh fanacht inrochtana ag an am céanna, ní de réir an ordaithe is giorra.
| Repair | What it fixes | What it costs |
|---|---|---|
| Flip interface metrics | Alternating access: office now, home later, never both | Get-NetAdapter -Name "Ethernet 2" | Set-NetIPInterface -InterfaceMetric 21; set the VPN adapter back to 5000. A client that rewrites metrics on connect defeats it |
| Renumber one side | Every host reachable in both directions | DHCP reservations, printer queues, firewall rules and hard-coded addresses all move |
| Narrow the advertised prefix | Remote hosts really live in the upper half | Breaks the day someone adds a host below the cut |
| Translate with client-nat | Both address plans stay untouched | Stateless per-client mapping, unreadable logs, anything embedding addresses breaks |
| Publish one service with DNAT | One service on the VPN host reachable from the LAN | Both address plans stay; source addresses and reverse lookups stop being meaningful |
Is é an mhéadracht an rogha shaor agus an ceann a roghnaíonn daoine ar dtús. Baineann an t-athrú leis an gcomhéadan, mar sin oibríonn sé fad a bhíonn an tollán suas, agus is sa script taobh leis an gcliaint a bhaineann sé seachas i sliogán a dhéanfaidh tú dearmad air. Ní féidir leis rochtain chomhuaineach ar an seoladh céanna ar dhá líonra a thabhairt, agus sin an teorainn a sheolann gach duine eile síos an tábla.
Athuimhriú LAN an tí go 10.10.0.0/24 is é an deisiú glan: athnuachan amháin léasa DHCP móide na háirithis, na scuainí priontála agus na seoltaí cruaite a luann an seanchomh réimse. Ní hé athuimhriú thaobh na hoifige do chinneadh de ghnáth. Baineann IPv6 an t-imbhualadh go hiomlán nuair a bhíonn sé ag an dá líonra, ag úsáid réimír áitiúil uathúil ó fd00::/8 in ionad rud éigin is fiú cuimhneamh air, ach tástáil an feidhmchlár thar TCP, ní le ping, mar is féidir le ICMP oibriú fad nach n-oibríonn an tseirbhís.
Is é rogha aistriúcháin OpenVPN féin an rogha dheireanach, brúite ón bhfreastalaí isteach in iontráil eolaire a bhaineann go sonrach leis an gcliaint. Glacann sé ceithre pharaiméadar tar éis ainm na rogha — treo, líonra, masc agus ailias — agus níl an t-ailias roghnach: push "route 192.168.2.0 255.255.255.0" agus push "client-nat dnat 192.168.2.0 255.255.255.0 192.168.1.0". Is é an líonra agus an mhasc an raon a fheiceann an cliaint (192.168.2.0/24), is é an t-ailias an fíor-raon oifige ar thaobh an fhreastalaí (192.168.1.0/24), agus is é an bealach brúite a dhéanann an raon infheicthe sin inrochtana. Ansin feictear an oifig don chliaint sin faoi 192.168.2.x. Déan an mapáil a dhoiciméadú sa phróifíl, nó déanfaidh an chéad duine eile díchóimeáil uirthi mar locht ródaithe.
Is é foilsiú aon tseirbhíse amháin an leagan cúng den aistriúchán, agus ní theastaíonn rogha OpenVPN uaidh ar chor ar bith. Athfhoilsíonn riail DNAT ar óstach an VPN aon phort amháin, mar sin coinníonn an LAN a sheoltaí agus sroicheann sé an tseirbhís ag an seoladh óstaigh atá ar eolas aige cheana. Is é an costas an ceann is gnáth: feiceann an tseirbhís óstach an VPN mar fhoinse, mar sin ní chiallaíonn logaí de réir cliaint agus cuardaigh inbhéartacha aon rud níos mó. Clúdaíonn sé sin aon scuaine priontála nó aon leathanach riaracháin, ní óstaigh ar an dá thaobh ag sroicheadh a chéile.
Cad nach n-oibreoidh fós, agus cad atá le taifeadadh
Ní théann craoladh thar tollán ródaithe. Braitheann DLNA, UPnP, brabhsáil NetBIOS agus Wake-on-LAN ar chraoladh nó ar ilchraoladh nach n-iompraíonn gléas tun, mar sin ní dheisíonn aon bhealach an fhionnachtain. Leathnaíonn droichead le dev tap an deighleog, agus leis sin craoltaí DHCP, ARP agus gach paicéad fionnachtain eile; b'fhearr leat bealach óstaigh aonchraolta mar route 192.168.2.1 255.255.255.255 do sheoladh thaobh LAN ródaire cianda.
Baineann dhá ródaire a úsáideann araon 192.168.1.1 ar an mbealach céanna leis an teaghlach fadhb céanna: buaileann an seoladh áitiúil i gcónaí, mar sin fanann leathanach an ródaire chianda dorochtana go dtí go n-aistríonn LAN amháin. Ní athraíonn oiriúnóir eile a chur leis aon rud i gceachtar den dá chás.
Taifead an fhianaise sula ndéanfaidh tú aon rud a chur in eagar: ip route get nó Find-NetRoute, ping -c 3 chuig an seoladh atá i gceist, traceroute, agus tcpdump -ni tun0 icmp ar an gcliaint, ansin an tábla ródaithe agus contóirí NAT ar an bhfreastalaí. Cuireann ping a oibríonn i dtreo amháin agus a fhaigheann bás sa treo eile in iúl an bealach ar ais, ní an tollán, agus is é an t-idirdhealú amháin sin a chinneann cé acu de na deisiúcháin thuas a theastaíonn uait i ndáiríre.