נתב במצב לקוח VPN: מדוע התקני LAN נעלמים
התקני LAN נעלמים לאחר שהנתב עובר למצב לקוח VPN: בדקו תחילה את תכונת הבדיקה בנתיב ההעברה, ואחר כך את טווח ה-LAN שהקושחה שינתה מתחתיכם.
האמונה שמצב הלקוח עצמו הורג את הגישה ל-LAN מובילה אנשים לתפריט ההגדרות הלא נכון, והסיבות האמיתיות הן בדרך כלל שתיים. המנהרה אינה מסירה את גשר ה-LAN ואינה מונעת מלקוחות קוויים ואלחוטיים להגיע זה לזה. מה ששובר את הגישה המקומית הוא תכונת בדיקה בנתיב ההעברה של הנתב או טווח כתובות LAN שהתקדם כשהקושחה עשתה זאת. שניהם מייצרים את אותה תלונה, ואף אחד מהם לא מתוקן על ידי התקנה מחדש של פרופיל ה-VPN.
המיתוס, ומה מצב הלקוח באמת משנה
מצב הלקוח מוסיף ממשק מנהרה ומסלול ברירת מחדל שעובר דרכו, ואז מעביר את תעבורת ה-LAN לתוך המנהרה הזו. הגשר בין היציאות הקוויות לרדיו האלחוטי נשאר ללא שינוי, וכך גם המיתוג המקומי. מה שמשתנה הוא המדיניות: איזו תעבורה מועברת, היכן היא מתורגמת ואיזה פותר הלקוחות מקבלים.
ההבחנה הזו חשובה מפני ש-LAN שבור בדרך כלל אומר שאחת משלוש המדיניויות השתנתה, ולא שהנתב הפסיק להיות מתג. נתב שעדיין עונה לדף הניהול שלו הוא הוכחה שממשק ה-LAN חי. נתב שלא עונה לשום דבר יש לו בעיה אחרת, כמו כתובת LAN שהשתנתה או לקוח בתת-הרשת הלא נכונה.
לכן הצעד הראשון המועיל הוא למצוא איזו שכבה נשברה, לא לשנות את השכבה שאתם חושדים בה.
בדקו שלושה יעדים לפני שאתם נוגעים בהגדרה
מלקוח קווי, בדקו שלושה יעדים בנפרד ורשמו כל תוצאה: כתובת ה-LAN של הנתב עצמו, התקן אחר באותו מתג לפי IP, ומשהו שנגיש רק דרך המנהרה. עשו אותם בסדר הזה, כי כל תוצאה שוללת שכבה אחרת. השתמשו בכתובות ולא בשמות בסבב הראשון, כי כשל בשם מערבב DNS בשאלת קישוריות.
דפוס התשובות הוא האבחון. נתב שעונה בזמן שהתקנים המקומיים לא עונים מצביע על מיתוג מקומי או תכונת סינון ולא על ניתוב. התקנים מקומיים שעונים בזמן שצד המנהרה לא עונה מצביעים על מסלול המנהרה או חומת האש המרוחקת. אם הכול עונה לפי כתובת והשמות נכשלים, זו שאלת פותר, ושום עריכת מסלולים לא תתקן אותה.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
החזיקו את הטבלה לצד תוצאות הבדיקה. היא הופכת תלונה מעורפלת לשורה אחת שאפשר לפעול לפיה.
שכבת האבטחה בתוך נתיב ההעברה
נתבים לצרכנים מגיעים לעיתים קרובות יותר עם תכונת בדיקה שצופה בתעבורה מועברת, והיא פועלת באותו נתיב שנושא מנות מ-LAN למנהרה. כאשר הבדיקה הזו אינה יכולה לסווג את תעבורת המנהרה, ההעברה עלולה להיתקע בזמן שהמנהרה עצמה נשארת פעילה והנתב מדווח על חיבור תקין. שום דבר ביומן ה-VPN לא מראה זאת, כי ה-VPN אכן התחבר.
האבחון הוא ניסוי מבוקר, לא שינוי קבוע. רשמו את ההגדרה הנוכחית, כבו את התכונה למשך בדיקה אחת, העלו מחדש את המנהרה ובדקו מארח מקומי אחד לפי כתובת. ההעברה שחוזרת היא ההוכחה שהייתם צריכים, ואז הפשרה הופכת להחלטה במקום לניחוש. אם שום דבר לא משתנה, הפעילו אותה מחדש מיד ועברו לסיבת הכתובות.
להשאיר תכונת אבטחה בתשלום כבויה כדי שהמנהרה תמשיך לעבוד היא פשרה שיש לעשות במכוון ולרשום. שווה גם לשאול אם המנהרה שייכת להתקן אחר, כי נתב שחייב לבדוק הכול ונתב שחייב להעביר הכול הם שני תפקידים שונים.
הסיבה השנייה: טווח ה-LAN זז
עדכוני קושחה מאפסים את כתובת ה-LAN לברירת המחדל של היצרן באופן שגרתי, ולחלק מהנתבים יש מתג מצב מפורש שמחליט אם ה-LAN שומר על טווח פרטי או יורש אחד מהתקן שמעליו. לקוח שמצפה ל-192.168.8.x יכול להגיע ל-10.64.0.x, ואז הפעלת SSH למארח פוקעת למרות שהמנהרה בריאה לחלוטין.
ipconfig /all
ip addr show
ip route get 192.168.8.20קראו את הקידומת ואת השער מן החכירה לפני שפותחים את דף הנתב. שתי הפקודות הראשונות מראות מה הלקוח באמת קיבל, והשלישית מראה באיזה ממשק הלקוח ישתמש לכתובת מקומית, וכך מסלול שנשאר או תת-רשת מיושנת חושפים את עצמם. לאחר מכן השוו זאת לדף ה-LAN ולמצב שבו הנתב נמצא.
אם הטווח לא יכול לחזור, עדכנו כל אובייקט שמזכיר אותו: הזמנות DHCP, כל מסלול סטטי אל תת-הרשת הישנה וכל כלל חומת אש שנושא את הקידומת הקודמת. טווח שמתנגש בתת-הרשת המרוחקת של המנהרה הוא הגרסה הגרועה יותר, כי התקנים מקומיים נשארים נגישים בעוד יעדים מרוחקים מנותבים בשקט אל ה-LAN.
התחברו מחדש ובדקו שוב לפי סדר המנות
לאחר כל אחד משני השינויים, חברו מחדש את המנהרה וחזרו על הבדיקות לפי סדר המנות: נתב, מארח מקומי, מארח מרוחק, ואז שמות, ואז היישום. בדיקת היישום ראשונה מסתירה איזו שכבה עדיין שבורה, וניסיון חוזר של הדפדפן מול שם שנשמר במטמון יכול להיראות כמו כשל ניתוב.
רשמו את גרסת הקושחה, קידומת ה-LAN ומצב תכונת הבדיקה לצד פרופיל ה-VPN. שלושתם הם תצורה שהעדכון הבא עלול לדרוס, ושתי שורות הערות חוסכות את השעה שזה עתה ביליתם.