Menyalin /32 tunnel tidak akan merutekan subnet kantor
Alamat yang diberikan VPN ke adaptor Anda menjelaskan tautan, bukan tujuan. Tambahkan prefiks sumber daya ke profil dan biarkan rute bawaan apa adanya.
VPN tersambung, antarmuka menampilkan alamat dengan masker tiga puluh dua bit, dan server kantor tetap tidak terjangkau. Langkah berikutnya sering kali memakai ulang masker itu dalam rute, dengan teori bahwa antarmuka menjelaskan apa yang dapat dijangkau tunnel. Bukan begitu. Alamat itu menjelaskan ujung lokal sebuah tautan titik-ke-titik, dan tujuan yang Anda pedulikan berada di prefiks lain di sisi lainnya.
Dua hal berbeda dicampuradukkan: alamat yang diberikan tunnel kepada Anda, dan jaringan yang ingin Anda capai melaluinya.
Dua alamat, dua tugas
Pada tunnel titik-ke-titik, alamat klien sering kali satu alamat host tunggal karena hanya ada tepat satu peer di ujung lain tautan. Tidak ada segmen bersama dan tidak ada ARP, jadi masker yang tampak absurd di Ethernet sepenuhnya normal di sini.
Prefiks tujuan adalah fakta tentang jaringan kantor, bukan tentang tunnel. Jika Anda memerlukan satu server, rutenya adalah rute host untuk server itu. Jika Anda memerlukan seluruh subnet kantor, rutenya adalah subnet itu. Tidak satu pun jawaban dapat dibaca dari antarmuka, dan memilih salah satunya karena muncul di samping alamat tunnel adalah cara setup yang berfungsi menjadi rusak.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Baris ketiga itulah tempat optimisme berubah menjadi gangguan. Merutekan seluruh rentang privat ke tunnel yang hanya melayani satu situs mendorong lalu lintas tak terkait ke jalur yang tidak dapat mengantarkannya, dan kegagalan yang dihasilkan tampak seperti VPN rusak, bukan rute yang terlalu lebar.
Pilih prefiks dari kebutuhan
Tuliskan kebutuhan sebagai kalimat sebelum menyentuh profil: host mana yang harus dapat dijangkau, dan prefiks tersempit mana yang mencakupnya? Satu server adalah rute host. Satu subnet adalah rute subnet. Rentang subnet adalah ringkasan, dan ringkasan adalah janji bahwa setiap alamat di dalamnya dapat dijangkau, yang jarang benar.
Lalu periksa angka itu terhadap apa yang sebenarnya dipakai kantor. Menyalin prefiks dari pesan obrolan tanpa mengonfirmasinya dengan rencana pengalamatan situs adalah cara rute akhirnya menunjuk ke subnet yang tidak dimiliki siapa pun.
Ingat juga bahwa rute adalah jalur, bukan izin. Gateway tetap memutuskan apakah klien Anda boleh menggunakan tujuan itu, dan layanan tetap dapat menolak Anda. Memasang rute dengan benar mengantarkan paket ke sana dan tidak menjawab apa pun tentang otorisasi.
Tambahkan ke profil, jangan pernah menggantinya
Rute dalam profil NetworkManager adalah properti bernilai banyak, dan perbedaan antara menyetel dan menambahkan adalah satu karakter. Gunakan bentuk plus untuk menambahkan entri dan mempertahankan semua yang sudah tersimpan.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Tanpa plus, penetapan menggantikan seluruh daftar. Pada profil yang sudah membawa beberapa prefiks, itu diam-diam menghapus yang berfungsi, dan gejalanya datang kemudian sebagai layanan yang dulu dapat dijangkau dari laptop ini.
Gunakan UUID alih-alih nama. Nama diduplikasi setelah pemulihan, dan koneksi yang Anda edit mungkin bukan yang membawa lalu lintas Anda. Periksa dulu apakah ada entri identik, karena menambahkan duplikat tidak rapi meskipun tidak berbahaya.
Halaman referensi properti rute mendokumentasikan tujuan, lompatan berikutnya yang opsional, metrik, dan sintaks atribut untuk versi yang terpasang. Bacalah sebelum menambahkan lompatan berikutnya, karena apakah diperlukan bergantung pada integrasi dan topologi, dan menebaknya dari alamat pertama dalam daftar antarmuka bukanlah metode.
Rute bawaan dan DNS adalah keputusan terpisah
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Rute otomatis adalah hal lain yang tidak boleh diganggu sembarangan. Menekannya untuk menyelesaikan satu entri yang hilang dapat menghapus beberapa yang berfungsi, dan orang yang menyarankannya biasanya melihat profil lain dengan push berbeda.
DNS punya jalurnya sendiri dan kegagalannya sendiri. Nama yang diselesaikan ke alamat yang benar melalui resolver yang salah, atau resolver yang tidak dapat menjawab zona privat, akan tampak seperti masalah perutean padahal rutenya sempurna. Uji alamat dan nama secara terpisah, lalu putuskan lapisan mana yang sebenarnya gagal.
Verifikasi apa yang diterapkan
Perubahan yang disimpan bukan perubahan yang diterapkan. Sambungkan ulang melalui siklus hidup yang didukung manajer, lalu lihat rute sebenarnya untuk tujuan yang dimaksud dan aturan kebijakan yang menentukan tabel mana yang dikonsultasikan.
Jika prefiks ada dan koneksi masih gagal, Anda telah pindah ke masalah lain: pemilihan alamat sumber, rute balik di ujung jauh, atau layanan yang menolak klien Anda. Masing-masing adalah tempat yang lebih baik untuk dilihat daripada profil yang sudah Anda perbaiki.