Mengapa reservasi DHCP bukan IP statis untuk server VPN Anda

Saya memindahkan kotak VPN rumahan dari Wi-Fi ke Ethernet dan alamat “permanennya” berubah malam itu juga. Tidak ada yang rusak di router. Reservasi itu cocok dengan adaptor nirkabel, dan adaptor itu tidak lagi ada di jalurnya.

Kesalahpahaman yang sama punya paruh kedua. Membenahi alamat LAN tidak melakukan apa pun untuk alamat yang dihubungi teman-teman Anda, dan tidak ada hubungannya dengan kolam privat yang diberikan VPN kepada klien. Tiga alamat, tiga mode kegagalan terpisah, dan hanya satu di antaranya tugas sebuah reservasi.

Reservasi cocok dengan klien, bukan perangkat

Dalam DHCPv4 reservasi dikaitkan dengan alamat perangkat keras klien; dalam DHCPv6 dikaitkan dengan DUID yang diharapkan dipertahankan klien. Kolom hostname adalah label untuk manusia. Yang sebenarnya dibandingkan router adalah pengenal yang tiba dalam permintaan.

Baca entri itu sebagai syarat: ketika pengenal ini meminta, berikan alamat ini. Perpanjangan mempertahankan sewa yang sama selama kecocokan bertahan, dan reboot hanya meminta lagi. Ketika pengenal berubah, permintaan melewati reservasi dan klien mengambil apa pun yang ditawarkan kolam dinamis. Tanpa galat, tanpa peringatan, hanya alamat yang berbeda.

OpenWrt menunjukkan bentuknya dengan jelas. Satu blok config host di /etc/config/dhcp mengikat nama, MAC, dan alamat menjadi satu, dan dokumentasi sewa statis menjelaskan bagaimana entri itu berinteraksi dengan kolam. Router lain menyembunyikan tiga kolom yang sama di balik label berbeda.

Di mana kecocokan diam-diam gagal

Mengganti perangkat keras adalah kasus umum. Ganti NIC, atau pindahkan mesin antara Ethernet dan Wi-Fi, dan alamat yang dilihat router ikut berubah. Reservasi lama tetap ada di daftar, masih terlihat benar.

Instalasi ulang adalah kasus kedua, dan paling menggigit pada IPv6. Instalasi baru dapat menghasilkan DUID baru sementara sewa IPv4 lama masih berlaku, jadi alamat v4 bertahan beberapa waktu dan entri v6 berhenti berlaku tanpa penyuntingan yang terlihat.

Ketiga adalah pengenal klien yang disematkan. Beberapa klien DHCP memungkinkan Anda menetapkan string pengenal alih-alih memakai MAC. Jika pembaruan atau penulisan ulang konfigurasi membuang pengaturan itu, kecocokan hilang meski mesin tidak berpindah.

Keempat adalah duplikasi: blok lama dan blok baru untuk host yang sama. Server menjawab dengan aturan yang cocok, sering kali alamat kolam yang ingin Anda hindari. Hapus entri lama alih-alih menambahkan yang kedua.

Konfigurasi di sisi host dan berapa biayanya

Menetapkan alamat di host menghapus pertanyaan kecocokan sepenuhnya. Antarmuka naik dengan alamat itu apakah DHCP menjawab atau tidak, dan itulah yang Anda inginkan dari mesin yang harus tetap terjangkau setelah router reboot.

Biayanya adalah kepemilikan. Anda sekarang menyediakan prefiks, gateway, dan resolver, dan Anda harus menjaga alamat tetap di luar kolam dinamis sendiri. Di Ubuntu dengan netplan, /etc/netplan/01-vpn.yaml membawanya:

network:
  version: 2
  ethernets:
    eth0:
      dhcp4: false
      addresses: [192.168.50.10/24]
      routes:
        - to: default
          via: 192.168.50.1
      nameservers:
        addresses: [192.168.50.1]

Pengguna NetworkManager mencapai keadaan yang sama dengan nmcli con mod "Wired connection 1" ipv4.method manual ipv4.addresses 192.168.50.10/24 ipv4.gateway 192.168.50.1, lalu nmcli con up "Wired connection 1". Terapkan netplan dengan netplan try pada percobaan pertama alih-alih netplan apply; gateway yang salah ketik membuat kotak keluar dari jaringan dan meninggalkan Anda mencari konsol.

Tetap simpan reservasi yang cocok. Itu tidak berlebihan. Entri itu mencatat alamat di sisi router dan mencegah server DHCP memberikan alamat tersebut kepada perangkat tamu jika seseorang memperluas kolam nanti.

Alamat LAN yang stabil bukan titik akhir publik

Arahkan port forward ke 192.168.50.10 dan aturan itu bertahan terhadap setiap perubahan di sisi LAN. Itu tidak memberi Anda alamat internet yang stabil. IP publik Anda milik ISP dan bisa bergeser saat sambung ulang atau ganti modem, itulah gunanya DNS dinamis.

Di balik NAT tingkat operator tidak ada IPv4 publik untuk diteruskan sama sekali, dan tidak ada reservasi yang membuatnya. Periksa halaman WAN router sebelum apa pun: jika alamatnya berada di rentang bersama, penerusan masuk tidak mungkin bekerja sebersih apa pun reservasinya.

Alamat ketiga adalah kolam terowongan, sering kali sesuatu seperti 10.8.0.0/24. Alamat itu hanya ada di dalam terowongan dan tidak pernah muncul di LAN. Mencampuradukkannya dengan alamat LAN server adalah cara sebuah port akhirnya diteruskan ke klien yang hanya daring selama terhubung.

Periksa jalurnya dalam urutan ia putus

Mulai dari router. Bandingkan entri tabel sewa dengan target reservasi; jika server mengambil alamat kolam, pengenalnya salah, dan ip link show di host memberi Anda nilai untuk dibandingkan.

Lalu host. ip -4 addr show eth0 seharusnya melaporkan alamat dan prefiks yang diharapkan. Alamat kedua pada antarmuka yang sama biasanya berarti DHCP masih berjalan di samping konfigurasi statis Anda.

Lalu penerusan. Pastikan tujuannya masih sama dengan alamat yang baru Anda verifikasi, dan pastikan ada yang mendengarkan dengan ss -lntp. Penerusan ke port tertutup terlihat persis seperti penerusan rusak dari luar.

Selesaikan dari luar, di ponsel dengan Wi-Fi mati. Satu uji itu memisahkan “alamat lokalnya salah” dari “keterjangkauan publiknya rusak”, dua masalah yang terus dicampur aduk oleh penyiapan ini.

Catat ketiga alamat itu, LAN, publik, dan kolam terowongan, dan tandai sistem mana yang memiliki masing-masing. Saat koneksi gagal bulan depan Anda akan tahu mana yang perlu diperiksa alih-alih mengubah ketiganya sekaligus.