Hvers vegna VPN með fullri göng felur beinu staðbundnu VLANin þín

Rofinn „allow local network“ í VPN-biðlara hljómar eins og hann nái yfir allt í byggingunni. Í reynd bætir hann venjulega nokkrum undantekningum fyrir einkanetföng við sjálfgefna leið göngunnar og stoppar þar. Geymslu-VLANið þitt er aðeins aðgengilegt ef leið fyrir það tiltekna forskeyti lifir komu ganganna af, og hjá mörgum biðlurum gerir hún það ekki.

Þetta er beinunarspurning en ekki VPN-stilling, sem er góð tíðindi: hún hefur skýrt svar.

Hvað allow-local-network nær í raun yfir

Biðlarar útfæra þetta val á mismunandi hátt. Sumir bæta við leiðum fyrir undirnetið sem vélin er tengd, sumir bæta við RFC 1918 sviðunum og örfáir útiloka aðeins sjálfgefnu gáttina. Enginn þeirra veit að skrifstofubeinirinn þinn þjónar líka geymslu-VLANi, rannsóknarhluta eða prentaraundirneti, því þessi forskeyti eru ekki á strengnum sem biðlarinn sér. Lestu skjöl biðlarans sjálfs um nákvæma hegðun í stað þess að gera ráð fyrir að merkið lýsi netlögun þinni.

Munurinn skiptir mestu í uppsetningu fullrar göngu, þar sem biðlarinn skiptir sjálfgefnu leiðinni vísvitandi út svo allur umferð fari í gegnum VPN. Það er allur tilgangur uppsetningarinnar, og það er líka það sem lætur staðbundnu beinu netin hverfa. Þau voru aldrei þakin eigin leið; þau ferðuðust á sjálfgefnu leiðinni sem var einmitt skipt út. Biðlari getur ekki beint því sem hann veit ekki að er til, og hann lærir aðeins forskeyti sem eru tengd eigin tengi. Allt annað verður einhver sem þekkir netlögunina að lýsa.

Tengdar leiðir stöðvast við fyrsta beininn

Vinnustöð á 192.168.10.20/24 með gátt 192.168.10.1 fær sjálfkrafa tengda leið fyrir 192.168.10.0/24. Geymslu-VLANið á 192.168.20.0/24 er annað forskeyti, aðeins aðgengilegt um þá gátt, og vinnustöðin hefur enga leið fyrir það umfram sjálfgefnu leiðina. Áður en göngin koma upp sendir venjulega sjálfgefna leiðin geymsluumferðina fyrir tilviljun á 192.168.10.1 og allt virkar.

Þegar VPN setur upp sjálfgefna leið fullrar göngu fylgja pakkar til 192.168.20.1 nýju sjálfgefnu leiðinni inn í göngin. Fjarlæga gáttin hefur ekki hugmynd um hvar þetta forskeyti býr, svo hún hendir þeim eða sendir þá á gagnslausan stað. Ekkert var rangt stillt á geymslu-VLANinu; leið þess var lánuð og lánið var kallað til baka.

Freistingin er að grípa til breiðrar undantekningar, eins og /1 leiðapars eða annarrar sjálfgefinnar leiðar. Standist það. Því þrengri sem undantekningin er, því auðveldara er að útskýra hana, endurskoða og fjarlægja þegar netið breytist.

Settu undantekninguna í töfluna sem vinnur

Innan einnar beinitöflu vinnur /24 gegn /0 eða /1 með lengstu forskeytissamsvörun, svo sértæk leið að geymslu-VLANinu um staðbundnu gáttina nægir, að því tilskildu að taflan sé skoðuð yfirhöfuð. Á Linux er venjulega formið stutt:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Stefnumiðuð beining flækir þá tryggingu. Fyrri regla getur sent umferð í töflu þar sem eigin sjálfgefna leið vísar inn í göngin, og aðaltöflan sem heldur /24 þínu er þá aldrei náð. Athugaðu reglurnar áður en þú gerir ráð fyrir að leiðin sé ráðandi, því rétt útlit færsla í rangri töflu útskýrir bilun sem lítur út eins og brotin leið.

Gerðu færsluna síðan varanlega með aðferð sem biðlarinn styður eða netstjóranum sem á tengið. Leið sem er slegin inn í skipanalínunni hverfur við næstu endurtengingu, og leið sem er bundin einni Wi-Fi gátt er ekki flytjanleg yfir í næsta net sem fartölvan heimsækir.

Nöfn og stefna fylgja ekki leiðum

Að laga leiðina endurheimtir pakka, ekki nöfn. Ef staðbundin tæki eru leyst í gegnum áþvingaðan leysi sem veit ekkert um þau mistekst uppsetningin samt þótt fangið sé aðgengilegt. Staðbundin nöfn þurfa staðbundið eða skipt DNS fyrirkomulag, og það er ákvörðun aðskilin frá leiðarundantekningunni.

Stefnan er aftur aðskilin. Staðbundinn aðgangssía VPN-biðlarans getur vísvitandi bannað umferð í einkasvið, og leið hnekkir ekki þeirri reglu. Á ótraustu neti er einkafang ekki heldur sönnun þess að áfanginn sé geymslumiðlarinn þinn, svo undantekningin ætti að vera jafn sértæk og leiðin sjálf.

Samningur sem þú getur afhent

Fullbúin hönnunin ætti að lesast sem stuttur listi: almenn netumferð fylgir göngunum, og þessi nafngreindu staðbundnu forskeyti halda leið sinni um staðbundna beininn. Skrifaðu niður forskeytin, næstu hopp og DNS viðskeytið sem fylgir þeim, og haltu listanum nógu stuttum til að einhver geti sannreynt hann án þess að lesa beinitöflu.

Fylgstu með skörun staðbundinna og fjarlægra sviða. Geymslu-VLAN sem deilir forskeyti með einhverju á bak við VPNið verður leyst í þá leið sem er sértækari, og hegðunin sem af því hlýst er ruglandi á þann hátt að virðist slitrótt. Að endurnúmera aðra hliðina er venjulega ódýrara en að villuleita óskýrleikann að eilífu.

Prófaðu samninginn tvisvar: einu sinni með göngin uppi og einu sinni með þau niðri. Ef staðbundna leiðin virkar aðeins í öðru þessara ástanda er undantekningin ekki samningur ennþá.