O adaptador VPN mostra /32: non significa un único destino

Os adaptadores mostran 255.255.255.255, e a miúdo conclúese que a VPN chega exactamente a un enderezo. Esa lectura confunde o enderezo do propio cliente co conxunto de destinos que se encamiñan polo túnel. Nunha interface punto a punto ou encamiñada, as dúas cousas son obxectos distintos, e só unha delas limita a alcanzabilidade. O mito sobrevive porque a máscara parece a máscara de subrede que a xente aprendeu en Ethernet.

O mito: unha máscara de host significa un só host alcanzable

Unha asignación /32 dille á interface que enderezo pertence a este extremo da ligazón, e nunha ligazón punto a punto iso é todo o que significa. O enderezo do par é un campo aparte, e as rutas que din que hai máis aló do par son outra cousa. Nada na máscara describe a rede remota, porque a máscara non é o lugar onde se describen as redes remotas. Lela como un límite de alcance é como ler o número da túa propia casa como unha lista de todos os enderezos que podes visitar.

A confusión ten unha raíz real: en Ethernet, unha máscara de host si significaría un só enderezo nese segmento. Un túnel non é un segmento Ethernet, e é a táboa de rutas do cliente, non a máscara, a que decide que pasa por el. Por iso a mesma /32 pode estar diante dun centro de datos enteiro.

Le o enderezo e as rutas como obxectos separados

Imprime a interface e a táboa xuntas, e despois leas como dúas respostas a dúas preguntas. O enderezo responde quen é este extremo; as rutas responden a onde pode ir o tráfico. Unha terceira pregunta, que destinos permite a pasarela, non se ve en absoluto no cliente. A referencia de enderezos de iproute2 describe por separado os campos de enderezo local, par e ruta de prefixo xusto por iso.

ip addr show tun0
ip route show
ip route get 10.60.5.10

En Windows existe a mesma separación entre a lista de enderezos e a táboa de rutas, e o comando de consulta é a forma máis rápida de ver cal gaña para un destino concreto. Se a consulta devolve a interface do túnel, o cliente enviará o paquete alí. Se devolve o adaptador físico, o cliente nunca pregunta á VPN, e ningún permiso do servidor cambiará iso. Comproba o destino que realmente necesitas, non un enderezo público xenérico.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Detente se a consulta apunta á interface equivocada. Iso é un problema de encamiñamento do cliente, e corríxese no cliente.

Por que ensanchar a máscara adoita empeoralo

Cambiar a asignación a unha /24 para que pareza a LAN da oficina pode crear un prefixo na ligazón: o núcleo agora cre que toda a /24 está conectada directamente á interface do túnel. O tráfico cara a enderezos que deberían encamiñarse pola pasarela envíase entón coma se un veciño estivese na ligazón. O resultado é un burato negro que parece unha caída do servidor.

Tamén agocha o problema real, que é unha ruta que falta ou un permiso que falta na pasarela. Ningunha das dúas cousas a crea unha máscara máis ancha, e ambas sobreviven ao cambio. Se o deseño necesita un prefixo maior na interface, esa é unha decisión para o modelo de interface que se usa, tomada coa documentación na man. Copiar unha máscara das capturas doutro produto non é esa decisión.

Se falta a ruta do prefixo remoto, corrixe o seu aprovisionamento. Se está presente e a conexión segue a rexeitarse, a máscara nunca foi o diagnóstico.

Cando a ruta é correcta e o fluxo segue fallando

Unha ruta correcta só demostra que o cliente enviará o paquete. A pasarela aínda ten que aceptar o destino, o camiño de volta ten que existir para o enderezo asignado, e o servizo ten que permitir o fluxo. Proba esas tres cousas por separado: a consulta no cliente, o alcance permitido da pasarela e unha petición a un servidor necesario. Que a autenticación teña éxito antes de que as tres estean no seu sitio é normal, e por iso un cliente conectado aínda pode non alcanzar nada.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Mantén os obxectos de rede e os permisos de grupo co seu propietario nun servizo xestionado por un dispositivo. O que se lle di ao cliente que acade e o que se lle permite usar son axustes distintos, a miúdo en pantallas distintas. Cambiar un e probar o outro é como un tícket rebota entre dous equipos.

O mito que hai que xubilar é que a máscara sexa un límite de alcance. Le o enderezo, as rutas e a política da pasarela como tres feitos separados, e unha /32 deixa de parecer unha restrición e comeza a parecer unha asignación normal de túnel.