העתקת ה-/32 של המנהרה לא תנתב את תת-הרשת של המשרד
הכתובת שה-VPN נותן למתאם שלך מתארת את הקישור, לא את היעד. הוסף את קידומת המשאב לפרופיל והשאר את ברירת המחדל בשקט.
ה-VPN מתחבר, הממשק מציג כתובת עם מסכה של שלושים ושניים סיביות, ושרת המשרד נשאר בלתי נגיש. הצעד הבא הוא לעתים קרובות שימוש חוזר באותה מסכה במסלול, מתוך תאוריה שהממשק מתאר למה המנהרה יכולה להגיע. זה לא כך. הכתובת הזו מתארת את הקצה המקומי של קישור נקודה לנקודה, והיעד שמעניין אותך נמצא בקידומת אחרת בצד השני שלו.
שני דברים שונים מתבלבלים: הכתובת שהמנהרה נתנה לך, והרשת שאתה רוצה להגיע אליה דרכה.
שתי כתובות, שתי עבודות
במנהרת נקודה לנקודה, כתובת הלקוח היא לרוב כתובת מארח בודדת כי יש בדיוק עמית אחד בקצה השני של הקישור. אין קטע משותף ואין ARP, ולכן מסכה שנראית אבסורדית ב-Ethernet היא כאן נורמלית לחלוטין.
קידומת היעד היא עובדה על רשת המשרד, לא על המנהרה. אם אתה צריך שרת אחד, המסלול הוא מסלול מארח לאותו שרת. אם אתה צריך את כל תת-הרשת של המשרד, המסלול הוא תת-הרשת. אף אחת מהתשובות לא ניתנת לקריאה מהממשק, ובחירת אחת כי היא הופיעה ליד כתובת המנהרה היא הדרך לשבור הגדרה שעובדת.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
השורה השלישית היא המקום שבו אופטימיות הופכת להפסקה. ניתוב כל טווח פרטי לתוך מנהרה שמשרתת אתר אחד בלבד דוחף תעבורה לא קשורה לנתיב שאינו יכול לספק אותה, והכשלים הנובעים נראים כמו VPN שבור ולא כמו מסלול רחב מדי.
בחר את הקידומת מהדרישה
כתוב את הדרישה כמשפט לפני שאתה נוגע בפרופיל: אילו מארחים חייבים להיות נגישים, ומהי הקידומת הצרה ביותר שמכסה אותם? שרת אחד הוא מסלול מארח. תת-רשת היא מסלול תת-רשת. טווח של תת-רשתות הוא סיכום, וסיכום הוא הבטחה שכל כתובת בתוכו נגישה, וזה לעתים רחוקות נכון.
לאחר מכן בדוק את המספר מול מה שהמשרד באמת משתמש בו. העתקת קידומת מהודעת צ’אט בלי לאמת אותה מול תוכנית הכתובות של האתר היא הדרך שבה מסלול בסופו של דבר מצביע על תת-רשת שאיש אינו מחזיק בה.
זכור גם שמסלול הוא נתיב, לא הרשאה. השער עדיין מחליט אם הלקוח שלך רשאי להשתמש ביעד, ושירות עדיין יכול לסרב לך. התקנה נכונה של המסלול מביאה את החבילה לשם ואינה עונה דבר על הרשאה.
הוסף לפרופיל, לעולם אל תחליף אותו
מסלולים בפרופיל NetworkManager הם מאפיין רב-ערכי, וההבדל בין קביעה להוספה הוא תו אחד. השתמש בצורת הפלוס כדי להוסיף רשומה ולשמור על כל מה שכבר נשמר.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"בלי הפלוס, ההקצאה מחליפה את כל הרשימה. בפרופיל שכבר נושא כמה קידומות, זה מוחק בשקט את אלו שעבדו, והתסמין מגיע מאוחר יותר כשירות שהיה נגיש מהמחשב הנייד הזה.
השתמש ב-UUID במקום בשם. שמות משוכפלים לאחר שחזורים, והחיבור שאתה עורך אולי אינו זה שנושא את התעבורה שלך. בדוק תחילה אם קיימת רשומה זהה, כי הוספת כפילות היא לא מסודרת גם כשהיא בלתי מזיקה.
ה אסמכתת מאפייני המסלול מתעדת את היעד, הקפיצה הבאה האופציונלית, המדד ותחביר המאפיינים עבור הגרסה המותקנת. קרא אותה לפני הוספת קפיצה הבאה, כי האם היא נדרשת תלוי באינטגרציה ובטופולוגיה, ולנחש אותה מהכתובת הראשונה ברשימת ממשקים אינו שיטה.
מסלול ברירת המחדל ו-DNS הם החלטות נפרדות
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
מסלולים אוטומטיים הם הדבר הנוסף שאסור להפריע לו בקלות דעת. דיכויים כדי לפתור רשומה חסרה אחת עלול להסיר כמה שעובדות, ומי שהציע זאת בדרך כלל הסתכל על פרופיל אחר עם דחיפות אחרות.
ל-DNS יש נתיב משלו וכשלים משלו. שם שנפתר לכתובת הנכונה דרך הפותר הלא נכון, או פותר שאינו יכול לענות לאזור הפרטי, ייראה כמו בעיית ניתוב בזמן שהמסלול מושלם. בדוק את הכתובת ואת השם בנפרד, ואז החלט איזו שכבה באמת נכשלה.
וודא מה הוחל
שינוי שמור אינו שינוי מוחל. התחבר מחדש דרך מחזור החיים הנתמך של המנהל, ואז הבט במסלול בפועל ליעד המיועד ובכללי המדיניות שקובעים איזו טבלה נבדקת.
אם הקידומת שם והחיבור עדיין נכשל, עברת לבעיה אחרת: בחירת כתובת מקור, מסלול חזור בקצה הרחוק, או שירות שמסרב ללקוח שלך. כל אחד מאלה הוא מקום טוב יותר להסתכל בו מאשר הפרופיל שכבר תיקנת.