Usmjerivač u VPN klijentskom načinu rada: zašto LAN uređaji nestaju
LAN uređaji nestaju nakon što usmjerivač uđe u VPN klijentski način rada: prvo testirajte funkciju pregleda u putu prosljeđivanja, zatim LAN raspon koji je firmware promijenio ispod vas.
Vjerovanje da sam klijentski režim ubija LAN pristup vodi ljude u pogrešan meni postavki, a prava su uzroka obično dva. Tunel ne uklanja LAN most niti sprječava žičane i bežične klijente da dosegnu jedni druge. Lokalni pristup kvari ili funkcija pregleda u ruterovom putu prosljeđivanja ili LAN raspon adresa koji se pomjerio kad je firmver to učinio. Oba daju istu žalbu, a nijedno se ne popravlja ponovnom instalacijom VPN profila.
Mit i šta klijentski režim zaista mijenja
Klijentski režim dodaje tunelsko sučelje i zadanu rutu kroz njega, a zatim prosljeđuje LAN saobraćaj u taj tunel. Most između žičanih portova i bežičnih radija ostaje netaknut, kao i lokalno komutiranje. Mijenja se politika: koji se saobraćaj prosljeđuje, gdje se prevodi i koji resolver klijenti dobijaju.
Ta razlika je važna jer pokvaren LAN obično znači da se promijenila jedna od te tri politike, a ne da je ruter prestao biti komutator. Ruter koji još odgovara na vlastitu administratorsku stranicu dokaz je da je LAN sučelje živo. Ruter koji ne odgovara ni na šta ima drugi problem, poput promijenjene LAN adrese ili klijenta na pogrešnoj podmreži.
Zato je koristan prvi potez pronaći koji se sloj pokvario, a ne mijenjati sloj koji sumnjičite.
Provjerite tri cilja prije nego dodirnete postavku
Sa žičanog klijenta provjerite tri cilja odvojeno i zapišite svaki rezultat: vlastitu LAN adresu rutera, drugi uređaj na istom komutatoru po IP-u i nešto dostupno samo kroz tunel. Radite ih tim redom, jer svaki rezultat isključuje drugi sloj. U prvom prolazu koristite adrese umjesto imena, jer neuspjeh imena miješa DNS u pitanje povezanosti.
Uzorak odgovora je dijagnoza. Ruter koji odgovara dok lokalni uređaji ne odgovaraju ukazuje na lokalno komutiranje ili funkciju filtriranja, a ne na rutiranje. Lokalni uređaji koji odgovaraju dok strana tunela ne odgovara ukazuju na tunelsku rutu ili udaljeni firewall. Sve što odgovara po adresi dok imena ne uspijevaju pitanje je resolvera i nikakvo uređivanje ruta to neće popraviti.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Držite tabelu uz rezultate testova. Ona pretvara nejasnu žalbu u jednu liniju po kojoj možete postupiti.
Sigurnosni sloj unutar puta prosljeđivanja
Potrošački ruteri sve češće dolaze s funkcijom pregleda koja nadgleda proslijeđeni saobraćaj, a ona radi u istom putu koji nosi pakete od LAN-a do tunela. Kada ta provjera ne može klasificirati tunelski saobraćaj, prosljeđivanje može stati dok sam tunel ostaje podignut i ruter prijavljuje zdravu vezu. Ništa u VPN zapisniku to ne pokazuje, jer se VPN zaista povezao.
Dijagnoza je kontrolirani eksperiment, a ne trajna promjena. Zabilježite trenutnu postavku, isključite funkciju na vrijeme jednog testa, ponovo podignite tunel i provjerite jedan lokalni host po adresi. Prosljeđivanje koje se vrati dokaz je koji vam je trebao, a kompromis tada postaje odluka umjesto nagađanja. Ako se ništa ne promijeni, odmah je ponovo uključite i prijeđite na uzrok adresiranja.
Ostaviti plaćenu sigurnosnu funkciju isključenom da bi tunel nastavio raditi kompromis je koji se pravi namjerno i zapisuje. Vrijedi i pitati pripada li tunel drugom uređaju, jer ruter koji mora pregledati sve i ruter koji mora proslijediti sve dva su različita posla.
Drugi uzrok: LAN raspon se pomjerio
Ažuriranja firmvera rutinski vraćaju LAN adresu na zadanu vrijednost proizvođača, a neki ruteri imaju izričit prekidač režima koji odlučuje hoće li LAN zadržati privatni raspon ili naslijediti ga od uređaja uzvodno. Klijent koji očekuje 192.168.8.x može završiti na 10.64.0.x, a tada SSH sesija prema hostu istječe iako je tunel potpuno zdrav.
ipconfig /all
ip addr show
ip route get 192.168.8.20Pročitajte prefiks i pristupnik iz zakupa prije nego otvorite stranicu rutera. Prve dvije komande pokazuju šta je klijent stvarno primio, a treća pokazuje koje bi sučelje klijent koristio za lokalnu adresu, i tako se otkriva zaostala ruta ili zastarjela podmreža. Zatim to uporedite s LAN stranicom i režimom u kojem je ruter.
Ako se raspon ne može vratiti, ažurirajte svaki objekat koji ga imenuje: DHCP rezervacije, svaku statičku rutu prema staroj podmreži i svako firewall pravilo s prethodnim prefiksom. Raspon koji se sudara s udaljenom podmrežom tunela gori je variant, jer lokalni uređaji ostaju dostupni dok se udaljene destinacije tiho preusmjeravaju u LAN.
Ponovo se povežite i testirajte po redu paketa
Nakon bilo koje od dvije promjene ponovo povežite tunel i ponovite provjere po redu paketa: ruter, lokalni host, udaljeni host, zatim imena, zatim aplikacija. Testiranje aplikacije prvo skriva koji je sloj još pokvaren, a ponovni pokušaj preglednika prema keširanom imenu može izgledati kao greška rutiranja.
Zapišite verziju firmvera, LAN prefiks i stanje funkcije pregleda uz VPN profil. Sva tri su konfiguracija koju sljedeće ažuriranje može prepisati, a dva reda bilješki štede sat koji ste upravo potrošili.