VPN-ադապտորը ցույց է տալիս /32՝ դա չի նշանակում մեկ նպատակակետ

Ադապտորները ցույց են տալիս 255.255.255.255, և հաճախ եզրակացնում են, որ VPN-ը հասնում է ուղիղ մեկ հասցեի։ Այդ ընթերցումը շփոթում է հաճախորդի սեփական հասցեն թունելով երթուղավորվող նպատակակետերի բազմության հետ։ Կետ-կետ կամ երթուղավորված միջերեսում դրանք երկու տարբեր օբյեկտներ են, և հասանելիությունը սահմանափակում է դրանցից միայն մեկը։ Առասպելը պահպանվում է, որովհետև դիմակը նման է այն ենթացանցային դիմակին, որ մարդիկ սովորել են Ethernet-ում։

Առասպելը. հոսթի դիմակը նշանակում է մեկ հասանելի հոսթ

/32 նշանակումը միջերեսին ասում է, թե որ հասցեն է պատկանում կապի այս ծայրին, և կետ-կետ կապում դա է նրա ամբողջ իմաստը։ Գործընկերոջ հասցեն առանձին դաշտ է, և այն երթուղիները, որ ասում են, թե ինչ կա գործընկերոջից այն կողմ, կրկին առանձին են։ Դիմակում ոչինչ չի նկարագրում հեռավոր ցանցը, որովհետև դիմակը այն տեղը չէ, որտեղ նկարագրում են հեռավոր ցանցերը։ Այն հասանելիության սահման կարդալը նման է սեփական տան համարը կարդալուն որպես բոլոր հասցեների ցանկ, որոնց այցելելը ձեզ թույլատրված է։

Շփոթության իրական արմատը կա. Ethernet-ում հոսթի դիմակն իսկապես կնշանակեր մեկ հասցե այդ սեգմենտում։ Թունելը Ethernet-ի սեգմենտ չէ, և թե ինչ է անցնում դրա միջով, որոշում է հաճախորդի երթուղային աղյուսակը, ոչ դիմակը։ Այդ պատճառով նույն /32-ը կարող է կանգնած լինել մի ամբողջ տվյալների կենտրոնի առաջ։

Կարդացեք հասցեն և երթուղիները որպես առանձին օբյեկտներ

Տպեք միջերեսը և աղյուսակը միասին, ապա կարդացեք դրանք որպես երկու հարցի երկու պատասխան։ Հասցեն պատասխանում է, թե ով է այս ծայրը. երթուղիները պատասխանում են, թե ուր կարող է գնալ երթևեկությունը։ Երրորդ հարցը՝ թե որ նպատակակետերն է թույլատրում դարպասը, հաճախորդի վրա ընդհանրապես չի երևում։ iproute2-ի հասցեների ուղեցույցը տեղական հասցեի, գործընկերոջ և նախածանցային երթուղու դաշտերը նկարագրում է առանձին հենց այդ պատճառով։

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows-ում նույն բաժանումը կա հասցեների ցանկի և երթուղային աղյուսակի միջև, և որոնման հրամանը ամենաարագ ձևն է տեսնելու, թե որն է հաղթում կոնկրետ նպատակակետի համար։ Եթե որոնումը վերադարձնում է թունելի միջերեսը, հաճախորդը փաթեթը կուղարկի այնտեղ։ Եթե այն վերադարձնում է ֆիզիկական ադապտորը, հաճախորդը երբեք չի հարցնում VPN-ին, և սերվերի կողմի ոչ մի թույլտվություն դա չի փոխի։ Ստուգեք այն նպատակակետը, որն իսկապես պետք է ձեզ, ոչ թե ընդհանուր հանրային հասցե։

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Կանգ առեք, եթե որոնումը մատնանշում է սխալ միջերես։ Դա հաճախորդի երթուղավորման խնդիր է, և այն ուղղվում է հաճախորդի վրա։

Ինչու դիմակի լայնացումը սովորաբար ավելի է վատացնում

Նշանակումը /24-ի փոխելը, որպեսզի այն նմանվի գրասենյակի LAN-ին, կարող է կապի վրա նախածանց ստեղծել. միջուկն այժմ կարծում է, որ ամբողջ /24-ը ուղղակիորեն միացված է թունելի միջերեսին։ Այն հասցեների երթևեկությունը, որոնք պետք է երթուղավորվեն դարպասով, այնուհետև ուղարկվում է այնպես, ասես հարևանը կապի վրա է։ Արդյունքը սև անցք է, որը նման է սերվերի խափանման։

Այն նաև թաքցնում է իրական խնդիրը՝ բացակայող երթուղին կամ դարպասի վրա բացակայող թույլտվությունը։ Դրանցից ոչ մեկը չի ստեղծում ավելի լայն դիմակը, և երկուսն էլ վերապրում են փոփոխությունը։ Եթե նախագիծը միջերեսի վրա ավելի մեծ նախածանց է պահանջում, դա որոշում է օգտագործվող միջերեսի մոդելի համար, կայացված փաստաթղթերը ձեռքին։ Դիմակը այլ արտադրանքի էկրանի պատկերներից պատճենելը այդ որոշումը չէ։

Եթե հեռավոր նախածանցի երթուղին բացակայում է, ուղղեք դրա ապահովումը։ Եթե այն կա, և կապը դեռ մերժվում է, դիմակը երբեք ախտորոշում չի եղել։

Երբ երթուղին ճիշտ է, և հոսքը դեռ ձախողվում է

Ճիշտ երթուղին ապացուցում է միայն, որ հաճախորդը կուղարկի փաթեթը։ Դարպասը դեռ պետք է ընդունի նպատակակետը, վերադարձի ուղին պետք է գոյություն ունենա հատկացված հասցեի համար, և ծառայությունը պետք է թույլատրի հոսքը։ Փորձարկեք այդ երեքը առանձին՝ որոնումը հաճախորդի վրա, դարպասի թույլատրված շրջանակը և հարցումը մեկ անհրաժեշտ սերվերին։ Նույնականացման հաջողությունը մինչև բոլոր երեքի պատրաստ լինելը նորմալ է, և հենց դրա պատճառով միացված հաճախորդը կարող է ոչ մի տեղ չհասնել։

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Ցանցային օբյեկտները և խմբի թույլտվությունները պահեք դրանց սեփականատիրոջ մոտ՝ սարքով կառավարվող ծառայությունում։ Թե ինչին պետք է հասնի հաճախորդը և թե ինչն է նրան թույլատրված օգտագործել, տարբեր կարգավորումներ են, հաճախ տարբեր էկրաններում։ Մեկը փոխել և մյուսը ստուգելը այն է, ինչպես է տոմսը ցատկում երկու թիմերի միջև։

Այն առասպելը, որ պետք է կենսաթոշակի ուղարկել, այն է, թե դիմակը հասանելիության սահման է։ Կարդացեք հասցեն, երթուղիները և դարպասի քաղաքականությունը որպես երեք առանձին փաստ, և /32-ը դադարում է սահմանափակում թվալ և սկսում է սովորական թունելային նշանակում թվալ։