Adaptor VPN menampilkan /32: itu bukan berarti satu tujuan

Adaptor menampilkan 255.255.255.255, dan kesimpulannya sering kali bahwa VPN hanya dapat menjangkau satu alamat. Pembacaan itu mencampur alamat klien sendiri dengan kumpulan tujuan yang dirutekan melalui terowongan. Pada antarmuka titik-ke-titik atau antarmuka yang dirutekan, keduanya adalah objek berbeda, dan hanya satu di antaranya yang membatasi keterjangkauan. Mitos ini bertahan karena masker tampak seperti masker subnet yang dipelajari orang di Ethernet.

Mitos: masker host berarti satu host yang bisa dijangkau

Penetapan /32 memberi tahu antarmuka alamat mana yang menjadi milik ujung tautan ini, dan pada tautan titik-ke-titik hanya itu artinya. Alamat rekan adalah bidang terpisah, dan rute yang menyatakan apa yang ada di balik rekan juga terpisah. Tidak ada apa pun dalam masker yang menjelaskan jaringan jauh, karena masker bukan tempat jaringan jauh dijelaskan. Membacanya sebagai batas keterjangkauan sama seperti membaca nomor rumah Anda sendiri sebagai daftar semua alamat yang boleh Anda kunjungi.

Kekeliruan ini punya akar nyata: di Ethernet, masker host memang berarti satu alamat pada segmen itu. Terowongan bukan segmen Ethernet, dan apa yang lewat melaluinya ditentukan tabel rute klien, bukan masker. Itulah sebabnya /32 yang sama bisa berdiri di depan seluruh pusat data.

Baca alamat dan rute sebagai objek terpisah

Cetak antarmuka dan tabel bersama-sama, lalu baca keduanya sebagai dua jawaban atas dua pertanyaan. Alamat menjawab siapa ujung ini; rute menjawab ke mana lalu lintas boleh pergi. Pertanyaan ketiga, tujuan mana yang diizinkan gateway, sama sekali tidak terlihat pada klien. Referensi alamat iproute2 menjelaskan bidang alamat lokal, rekan, dan rute prefiks secara terpisah justru karena alasan ini.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Di Windows pemisahan yang sama ada antara daftar alamat dan tabel rute, dan perintah pencarian adalah cara tercepat untuk melihat mana yang menang untuk tujuan tertentu. Jika pencarian mengembalikan antarmuka terowongan, klien akan mengirim paket ke sana. Jika mengembalikan adaptor fisik, klien tidak pernah bertanya kepada VPN, dan tidak ada izin di sisi server yang akan mengubahnya. Periksa tujuan yang benar-benar Anda butuhkan, bukan alamat publik umum.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Berhenti jika pencarian menunjuk ke antarmuka yang salah. Itu masalah perutean klien, dan diperbaiki di klien.

Mengapa memperlebar masker biasanya memperburuk keadaan

Mengubah penetapan menjadi /24 agar tampak seperti LAN kantor dapat membuat prefiks pada tautan: kernel kini percaya seluruh /24 terpasang langsung ke antarmuka terowongan. Lalu lintas ke alamat yang seharusnya dirutekan melalui gateway kemudian dikirim seolah ada tetangga di tautan itu. Hasilnya adalah lubang hitam yang tampak seperti gangguan server.

Ini juga menyembunyikan masalah sebenarnya, yaitu rute yang hilang atau izin yang hilang di gateway. Keduanya tidak diciptakan oleh masker yang lebih lebar, dan keduanya bertahan setelah perubahan. Jika desain membutuhkan prefiks lebih besar pada antarmuka, itu keputusan untuk model antarmuka yang dipakai, diambil dengan dokumentasi di tangan. Menyalin masker dari tangkapan layar produk lain bukanlah keputusan itu.

Jika rute prefiks jauh hilang, perbaiki penyediaannya. Jika rute itu ada dan koneksi masih ditolak, masker tidak pernah menjadi diagnosisnya.

Saat rute benar dan aliran tetap gagal

Rute yang benar hanya membuktikan klien akan mengirim paket. Gateway masih harus menerima tujuan, jalur balik harus ada untuk alamat yang ditetapkan, dan layanan harus mengizinkan aliran. Uji ketiganya secara terpisah: pencarian di klien, cakupan yang diizinkan gateway, dan permintaan ke satu server yang diperlukan. Autentikasi berhasil sebelum ketiganya siap adalah hal normal, dan itulah sebabnya klien yang terhubung tetap bisa tidak menjangkau apa pun.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Simpan objek jaringan dan izin grup bersama pemiliknya pada layanan yang dikelola perangkat. Apa yang dikatakan harus dijangkau klien dan apa yang boleh dipakainya adalah pengaturan berbeda, sering pada layar berbeda. Mengubah satu dan menguji yang lain adalah cara tiket memantul antara dua tim.

Mitos yang perlu dipensiunkan adalah bahwa masker merupakan batas keterjangkauan. Baca alamat, rute, dan kebijakan gateway sebagai tiga fakta terpisah, dan /32 berhenti tampak seperti pembatasan dan mulai tampak seperti penetapan terowongan yang normal.