VPN-tengi sýnir /32: það þýðir ekki einn áfangastað

Tengi sýna 255.255.255.255, og oft er dregin sú ályktun að VPN nái nákvæmlega einu vistfangi. Sú lestur ruglar eigin vistfangi biðlarans saman við mengi áfangastaða sem er beint um göngin. Á punkt-til-punkt eða beinum viðmótum eru þetta tvennt ólíkir hlutir, og aðeins annar þeirra takmarkar aðgengi. Goðsögnin lifir því gríman líkist undirnetsgrímunni sem fólk lærði á Ethernet.

Goðsögnin: hýsilgríma þýðir einn aðgengilegan hýsil

/32 úthlutun segir viðmótinu hvaða vistfang tilheyrir þessum enda tengingarinnar, og á punkt-til-punkt tengingu er það allt sem hún þýðir. Vistfang mótaðilans er sérstakur reitur, og leiðirnar sem segja hvað liggur handan mótaðilans eru aftur sérstakar. Ekkert í grímunni lýsir fjarnetinu, því gríman er ekki staðurinn þar sem fjarnet eru lýst. Að lesa hana sem takmörk aðgengis er eins og að lesa eigið húsnúmer sem lista yfir öll vistföng sem þú mátt heimsækja.

Ruglingin á sér raunverulega rót: á Ethernet myndi hýsilgríma sannarlega þýða eitt vistfang á þeim hluta. Göng eru ekki Ethernet-hluti, og hvað fer í gegnum þau ræður leiðatöflu biðlarans, ekki gríman. Þess vegna getur sama /32 staðið fyrir framan heilt gagnaver.

Lestu vistfangið og leiðirnar sem aðskilda hluti

Prentaðu viðmótið og töfluna saman og lestu þau svo sem tvö svör við tveimur spurningum. Vistfangið svarar því hver þessi endi er; leiðirnar svara því hvert umferðin má fara. Þriðja spurningin, hvaða áfangastaði gáttin leyfir, sést alls ekki á biðlaranum. Vistfangaviðmið iproute2 lýsir reitunum fyrir staðbundið vistfang, mótaðila og forskeytisleið hverju fyrir sig einmitt af þessari ástæðu.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Í Windows er sama aðskilnaður milli vistfangalistans og leiðatöflunnar, og leitarskipunin er fljótlegasta leiðin til að sjá hvort vinnur fyrir tiltekinn áfangastað. Ef leitin skilar gönguviðmótinu sendir biðlarinn pakkann þangað. Ef hún skilar líkamlega tenginu spyr biðlarinn aldrei VPN, og ekkert leyfi á þjónustuhlið breytir því. Athugaðu áfangastaðinn sem þú þarft í raun, ekki almennt opinbert vistfang.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Stoppaðu ef leitin bendir á rangt viðmót. Það er leiðavandamál biðlarans, og það er lagað á biðlaranum.

Hvers vegna breikkun grímunnar gerir venjulega illa úr

Að breyta úthlutuninni í /24 til að líkjast skrifstofu-LAN getur búið til forskeyti á tengingunni: kjarninn trúir nú að allt /24 sé beint tengt gönguviðmótinu. Umferð til vistfanga sem á að beina um gáttina er þá send eins og nágranni sé á tengingunni. Niðurstaðan er svart gat sem lítur út eins og þjónustubrestur.

Hún felur líka raunverulega vandamálið, það er leið sem vantar eða leyfi sem vantar á gáttinni. Hvorki er búið til af breiðari grímu, og bæði lifa breytinguna af. Ef hönnunin þarfnast stærra forskeytis á viðmótinu er það ákvörðun fyrir viðmótslíkanið sem er í notkun, tekin með skjölin í hönd. Að afrita grímu úr skjáskotum annarrar vöru er ekki sú ákvörðun.

Ef leið fjarforskeytisins vantar, lagaðu útvegun hennar. Ef hún er til staðar og tengingunni er samt hafnað, var gríman aldrei greiningin.

Þegar leiðin er rétt og flæðið mistekst samt

Rétt leið sannar aðeins að biðlarinn muni senda pakkann. Gáttin þarf enn að samþykkja áfangastaðinn, afturleiðin þarf að vera til fyrir úthlutað vistfang, og þjónustan þarf að leyfa flæðið. Prófaðu þessi þrjú hvert fyrir sig: leitina á biðlaranum, leyft umfang gáttarinnar og beiðni til eins þarfrar þjóns. Að auðkenning takist áður en öll þrjú eru til staðar er eðlilegt, og þess vegna getur tengdur biðlari samt ekki náð neinu.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Haltu net hlutum og hópaleyfum hjá eiganda þeirra á þjónustu sem tæki stýrir. Hvað biðlaranum er sagt að ná og hvað honum er leyft að nota eru mismunandi stillingar, oft á mismunandi skjám. Að breyta öðru og prófa hitt er hvernig miði skoppar milli tveggja teyma.

Goðsögnin sem á að fara á eftirlaun er sú að gríman sé takmörk aðgengis. Lestu vistfangið, leiðirnar og stefnu gáttarinnar sem þrjár aðskildar staðreyndir, og /32 hættir að líta út eins og takmörkun og byrjar að líta út eins og eðlileg gönguúthlutun.