VPN अडैप्टर /32 दिखाता है: इसका अर्थ एक ही गंतव्य नहीं है

अडैप्टर 255.255.255.255 दिखाते हैं, और अक्सर निष्कर्ष निकाला जाता है कि VPN ठीक एक पते तक पहुँचता है। यह पाठ क्लाइंट के अपने पते को टनल से रूट होने वाले गंतव्यों के समुच्चय से मिला देता है। पॉइंट-टू-पॉइंट या रूटेड इंटरफ़ेस पर ये दो अलग वस्तुएँ हैं, और इनमें से केवल एक ही पहुँच को सीमित करती है। यह मिथक इसलिए टिका है क्योंकि मास्क वैसा ही दिखता है जैसा सबनेट मास्क लोगों ने Ethernet पर सीखा था।

मिथक: होस्ट मास्क का अर्थ एक ही पहुँच-योग्य होस्ट है

/32 आवंटन इंटरफ़ेस को बताता है कि लिंक के इस सिरे का पता कौन-सा है, और पॉइंट-टू-पॉइंट लिंक पर इसका अर्थ बस इतना ही है। साथी का पता अलग फ़ील्ड है, और साथी के परे क्या है यह बताने वाले रूट फिर अलग हैं। मास्क में कुछ भी दूर के नेटवर्क का वर्णन नहीं करता, क्योंकि दूर के नेटवर्क का वर्णन मास्क में नहीं होता। इसे पहुँच की सीमा के रूप में पढ़ना वैसा ही है जैसे अपने घर के नंबर को उन सभी पतों की सूची के रूप में पढ़ना जिन्हें देखने की आपको अनुमति है।

इस भ्रम का वास्तविक मूल है: Ethernet पर होस्ट मास्क का अर्थ वास्तव में उस सेगमेंट पर एक ही पता होता। टनल Ethernet सेगमेंट नहीं है, और उसमें से क्या गुज़रता है यह मास्क नहीं, क्लाइंट का रूटिंग तालिका तय करती है। इसीलिए वही /32 पूरे डेटा सेंटर के सामने खड़ा हो सकता है।

पते और रूट को अलग वस्तुओं के रूप में पढ़ें

इंटरफ़ेस और तालिका एक साथ छापें, फिर उन्हें दो प्रश्नों के दो उत्तरों के रूप में पढ़ें। पता बताता है कि यह सिरा कौन है; रूट बताते हैं कि ट्रैफ़िक कहाँ जा सकता है। तीसरा प्रश्न, गेटवे किन गंतव्यों की अनुमति देता है, क्लाइंट पर बिल्कुल दिखाई नहीं देता। iproute2 का पता संदर्भ स्थानीय पता, साथी और प्रीफ़िक्स-रूट फ़ील्ड को ठीक इसी कारण अलग-अलग बताता है।

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows में वही विभाजन पतों की सूची और रूटिंग तालिका के बीच है, और लुकअप कमांड यह देखने का सबसे तेज़ तरीका है कि किसी विशेष गंतव्य के लिए कौन जीतता है। यदि लुकअप टनल इंटरफ़ेस लौटाता है, तो क्लाइंट पैकेट वहीं भेजेगा। यदि वह भौतिक अडैप्टर लौटाता है, तो क्लाइंट कभी VPN से नहीं पूछता, और सर्वर पक्ष की कोई अनुमति इसे नहीं बदलेगी। वह गंतव्य जाँचें जो आपको वास्तव में चाहिए, कोई सामान्य सार्वजनिक पता नहीं।

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

यदि लुकअप गलत इंटरफ़ेस की ओर इशारा करे तो रुकें। यह क्लाइंट की रूटिंग समस्या है, और इसे क्लाइंट पर ही ठीक किया जाता है।

मास्क चौड़ा करने से आमतौर पर स्थिति बिगड़ती क्यों है

आवंटन को /24 में बदलना ताकि वह दफ़्तर के LAN जैसा दिखे, लिंक पर प्रीफ़िक्स बना सकता है: कर्नेल अब मानता है कि पूरा /24 सीधे टनल इंटरफ़ेस से जुड़ा है। जिन पतों के लिए गेटवे से रूट होना चाहिए, उनका ट्रैफ़िक तब ऐसे भेजा जाता है जैसे लिंक पर कोई पड़ोसी हो। परिणाम एक ब्लैक होल है जो सर्वर विफलता जैसा दिखता है।

यह असली समस्या भी छिपाता है, यानी गायब रूट या गेटवे पर गायब अनुमति। इनमें से कोई भी चौड़े मास्क से नहीं बनता, और दोनों बदलाव के बाद भी बने रहते हैं। यदि डिज़ाइन को इंटरफ़ेस पर बड़ा प्रीफ़िक्स चाहिए, तो वह इस्तेमाल हो रहे इंटरफ़ेस मॉडल का निर्णय है, जो दस्तावेज़ हाथ में लेकर लिया जाता है। किसी दूसरे उत्पाद के स्क्रीनशॉट से मास्क कॉपी करना वह निर्णय नहीं है।

यदि दूर के प्रीफ़िक्स का रूट गायब है, तो उसका प्रोविज़निंग ठीक करें। यदि वह मौजूद है और कनेक्शन फिर भी अस्वीकार होता है, तो मास्क कभी निदान नहीं था।

जब रूट सही हो और प्रवाह फिर भी विफल हो

सही रूट केवल यह सिद्ध करता है कि क्लाइंट पैकेट भेजेगा। गेटवे को अब भी गंतव्य स्वीकार करना होगा, आवंटित पते के लिए वापसी पथ होना चाहिए, और सेवा को प्रवाह की अनुमति देनी होगी। इन तीनों को अलग-अलग जाँचें: क्लाइंट पर लुकअप, गेटवे का अनुमत दायरा, और एक आवश्यक सर्वर को अनुरोध। तीनों के तैयार होने से पहले प्रमाणीकरण का सफल होना सामान्य है, और इसीलिए जुड़ा हुआ क्लाइंट भी कहीं नहीं पहुँच पाता।

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

नेटवर्क ऑब्जेक्ट और समूह अनुमतियाँ उनके स्वामी के पास, उपकरण द्वारा प्रबंधित सेवा में रखें। क्लाइंट से कहाँ पहुँचने को कहा गया है और उसे क्या इस्तेमाल करने की अनुमति है, ये अलग सेटिंग्स हैं, अक्सर अलग स्क्रीन पर। एक बदलना और दूसरे को जाँचना यही है कि टिकट दो टीमों के बीच कैसे उछलता है।

जिस मिथक को रिटायर करना चाहिए वह यह है कि मास्क पहुँच की सीमा है। पता, रूट और गेटवे नीति को तीन अलग तथ्यों के रूप में पढ़ें, फिर /32 सीमा जैसा लगना बंद कर देता है और सामान्य टनल आवंटन जैसा लगने लगता है।