Dodijelite LAN računalima povratnu rutu VPN-a putem DHCP opcije 121

Udaljeni VPN klijenti se povezuju, LAN poslužitelj odgovara, a odgovor izlazi kroz uobičajeni internetski usmjerivač i tu umire. Jedan poslužitelj može se popraviti statičkom rutom, ali cijelu podmrežu njih bolje je riješiti tamo gdje već dobivaju svoju mrežnu konfiguraciju. DHCPv4 opcija 121 distribuira upravo takvu rutu do odredišta, i to je dio koji ljudi obično pogriješe čim zaborave zadanu rutu. Simptom je jednosmjerni promet: zahtjevi stižu, a odgovori nestaju.

Najprije imenujte tri adrese

Uzmite konkretan LAN: 192.168.50.0/24 s uobičajenim zadanim usmjerivačem na 192.168.50.1 i zasebnim VPN pristupnikom na 192.168.50.2. Autentificirani udaljeni klijenti zauzimaju 10.90.0.0/24.

Ruta koju treba svako računalo sudionik je 10.90.0.0/24 via 192.168.50.2. Odredište je skup klijenata, a sljedeći skok je LAN adresa pristupnika, a ne njegova adresa u tunelu.

Kodirajte je kao besklasnu statičku rutu

Opcija 121 nosi parove prefiksa i sljedećeg skoka, a RFC 3442 definira i kodiranje i ponašanje klijenta koje iz toga slijedi. Za postojeću dnsmasq instancu koja služi samo ovom ilustrativnom LAN-u, oblik konfiguracije je:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

To je fragment, a ne nova DHCP usluga. Na poslužitelju koji opslužuje nekoliko segmenata, ograničite opciju oznakama ili mrežnom politikom koju već rabite. Držite prethodnu konfiguraciju pri ruci, jer vraćanje unatrag znači još jedno obnavljanje najma, a ne ponovno pokretanje.

Ne izgubite zadanu rutu

To je zamka. Klijent koji primi opciju 121 mora zanemariti uobičajenu Router opciju, pa oglašavanje samo rute VPN skupa može ostaviti to računalo posve bez zadane rute. Stroj i dalje izgleda konfigurirano i tiho gubi internet. Korisnici to opisuju kao pad mreže dok su sva sučelja podignuta.

Uključite željenu zadanu rutu na isti popis, kao što gornji fragment čini. Zadržite i uobičajenu Router opciju za klijente koji ne implementiraju besklasne rute; poslužiteljevo vlastito rukovanje opcijama odlučuje što se kome šalje.

Provjerite što će klijent prihvatiti

Računalo s ručno dodijeljenom adresom to nikada ne preuzme, jer ne traži najam. Podrška kod klijenata također varira, pa testirajte na operacijskom sustavu koji doista rabite umjesto da pretpostavite da svaki uređaj poštuje opciju 121. Provjerite s vlasnicima tih poslužitelja koji su statički adresirani. Tim računalima trebaju vlastiti unosi ruta ili jednostavno neće sudjelovati.

Upravljane DHCP usluge su još jedno ograničenje. Neke cloud mreže ne dopuštaju administratorima objavljivanje proizvoljnih opcija, a konkurentski DHCP poslužitelj na istom segmentu gori je od nikakve opcije.

Provjerite najam, zatim pretragu

Neka vlasnik DHCP-a primijeni promjenu, a zatim obnovite najam na klijentu. Postojeći najmovi zadržavaju staru konfiguraciju dok se ne obnove, pa trenutačni rezultati nisu zajamčeni.

Na Linux klijentu pročitajte stvarne rute i potvrdite oba unosa:

ip -4 route
ip -4 route get 10.90.0.23

Kontekstna pretraga trebala bi pokazati rutu skupa kroz 192.168.50.2 i zadanu kroz 192.168.50.1. Ako zadana nedostaje, reproducirali ste gornju zamku.

Zatim testirajte stvarnu razmjenu

Distribucija ruta nije cijeli put. Zasebni pristupnik još treba prosljeđivanje, vlasništvo nad udaljenim partnerima i politiku pristupa koja dopušta poslužitelj, a DHCP nikoga ne autentificira.

Naposljetku, imajte plan uklanjanja. Naučena statička ruta ne povlači se sama kad VPN padne, pa zastario sljedeći skok može pretvoriti taj prefiks u crnu rupu mnogo nakon što je tunel nestao.