Zašto VPN s punim tunelom skriva vaše rutirane lokalne VLAN mreže

Prekidač „allow local network“ u VPN klijentu zvuči kao da pokriva sve u zgradi. U praksi obično dodaje nekoliko izuzetaka za privatne adrese na zadanu rutu tunela i tu staje. Vaš VLAN za pohranu ostaje dostupan samo ako ruta za taj konkretni prefiks preživi dolazak tunela, a kod mnogih klijenata ne preživi.

To je pitanje usmjeravanja, a ne VPN postavke, što je dobra vijest: ima konkretan odgovor.

Što allow-local-network zapravo pokriva

Klijenti tu opciju provode na različite načine. Neki dodaju rute za podmrežu na koju je računalo priključeno, neki dodaju raspone RFC 1918, a malo njih isključuje samo zadani pristupnik. Nijedan od njih ne zna da vaš uredski usmjerivač poslužuje i VLAN za pohranu, laboratorijski segment ili podmrežu pisača, jer ti prefiksi nisu na žici koju klijent vidi. Pročitajte vlastitu dokumentaciju klijenta za točno ponašanje umjesto da pretpostavljate da oznaka opisuje vašu topologiju.

Razlika je najvažnija u dizajnu punog tunela, gdje klijent namjerno zamjenjuje zadanu rutu kako bi sav promet išao kroz VPN. To je cijela poanta dizajna, a upravo to čini da lokalne rutirane mreže nestanu. Nikada nisu bile pokrivene vlastitom rutom; vozile su se na zadanoj ruti koja je upravo zamijenjena. Klijent ne može usmjeravati ono za što ne zna da postoji, a uči samo o prefiksima priključenima na vlastito sučelje. Sve ostalo mora opisati netko tko poznaje topologiju.

Povezane rute staju na prvom usmjerivaču

Radna stanica na 192.168.10.20/24 s pristupnikom 192.168.10.1 automatski dobiva povezanu rutu za 192.168.10.0/24. VLAN za pohranu na 192.168.20.0/24 drugi je prefiks, dostupan samo kroz taj pristupnik, a radna stanica nema rutu za njega osim zadane. Prije nego tunel ustane, obična zadana ruta slučajno šalje promet prema pohrani na 192.168.10.1 i sve radi.

Kada VPN instalira zadanu rutu punog tunela, paketi za 192.168.20.1 slijede novu zadanu rutu u tunel. Udaljeni pristupnik nema pojma gdje taj prefiks živi, pa ih odbacuje ili prosljeđuje nekamo beskorisno. Ništa nije bilo pogrešno konfigurirano na VLAN-u za pohranu; njegov je put bio posuđen, a pozajmica je pozvana natrag.

Iskušenje je posegnuti za širokim izuzetkom, poput para ruta /1 ili druge zadane rute. Oduprite se tome. Što je izuzetak uži, to ga je lakše objasniti, provjeriti i ukloniti kada se mreža promijeni.

Stavite izuzetak u tablicu koja pobjeđuje

Unutar jedne tablice usmjeravanja /24 pobjeđuje /0 ili /1 prema najduljem podudaranju prefiksa, pa je konkretna ruta do VLAN-a za pohranu kroz lokalni pristupnik dovoljna, pod uvjetom da se tablica uopće pregledava. Na Linuxu je uobičajeni oblik kratak:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Usmjeravanje po politikama komplicira to jamstvo. Ranije pravilo može poslati promet u tablicu čija vlastita zadana ruta vodi u tunel, pa se glavna tablica koja drži vaš /24 tada nikad ne dosegne. Provjerite pravila prije nego pretpostavite da je ruta mjerodavna, jer ispravan na izgled unos u pogrešnoj tablici objašnjava kvar koji izgleda kao slomljena ruta.

Zatim učinite unos trajnim kroz mehanizam koji klijent podržava ili kroz mrežnog upravitelja koji posjeduje sučelje. Ruta otipkana u promptu nestaje pri sljedećem ponovnom spajanju, a ruta vezana uz jedan Wi-Fi pristupnik nije prenosiva na sljedeću mrežu koju prijenosnik posjeti.

Imena i politike ne slijede rute

Popravak rute vraća pakete, ne imena. Ako se lokalni uređaji razrješavaju kroz nametnuti razrješivač koji o njima ne zna ništa, montiranje i dalje ne uspijeva iako je adresa dostupna. Lokalna imena trebaju lokalni ili podijeljeni DNS raspored, a to je odluka odvojena od izuzetka rute.

Politika je opet odvojena. Filter lokalnog pristupa VPN klijenta može namjerno zabraniti promet prema privatnim rasponima, a ruta ne nadjačava to pravilo. Na nepouzdanoj mreži privatna adresa također nije dokaz da je odredište vaš poslužitelj za pohranu, pa izuzetak treba biti konkretan kao i sama ruta.

Ugovor koji možete predati

Gotov dizajn treba čitati kao kratak popis: opći internetski promet slijedi tunel, a ovi imenovani lokalni prefiksi zadržavaju svoj put kroz lokalni usmjerivač. Zapišite prefikse, sljedeći skok i DNS sufiks koji ide s njima, i držite popis dovoljno kratkim da ga netko može provjeriti bez čitanja tablice usmjeravanja.

Pazite na preklapanje lokalnih i udaljenih raspona. VLAN za pohranu koji dijeli prefiks s nečim iza VPN-a razriješit će se na rutu koja je specifičnija, a rezultirajuće ponašanje zbunjuje na način koji izgleda povremeno. Prenumeriranje jedne strane obično je jeftinije od vječnog otklanjanja nejasnoće.

Testirajte ugovor dvaput: jednom s uključenim tunelom i jednom s isključenim. Ako lokalni put radi samo u jednom od tih stanja, izuzetak još nije ugovor.