Næsta stökk í VPN-leið: hvers vegna gáttin verður að vera aðgengileg á staðnum

Leið inn í VPN-netið ber tvö fang sem auðvelt er að rugla saman: áfangaforskeytið sem pakkinn reynir að ná og næsta stökkið sem færir hann einu skrefi nær. Á LAN-hýsi verður það næsta stökk að vera beinir sem þú getur raunverulega náð á sömu tengingu. Fjar-VPN-fangið er ekki næsta stökk, hversu snyrtilega sem það passar við áfangann sem þú hefur í huga.

Þessi handbók nær yfir venjulega tilfellið: fartölvu á 192.168.20.0/24, VPN-gátt með LAN-fanginu 192.168.20.5 og fjarntengt net 10.70.0.0/24 bak við þá gátt. Allar skipanir hér fyrir neðan gera ráð fyrir að þú sért á fartölvunni nema annað sé sagt.

Tvö fang, ein leið

Fyrirhuguð færsla er 10.70.0.0/24 via 192.168.20.5. Forskeytið segir hvert pakkinn fer; via-fangið segir hver ber hann þangað. Kjarninn neitar að setja upp leið sem hann getur ekki náð gáttinni á í gegnum viðmótið sem þú nefnir, og sú neitun er allt málið: næsta stökk sem þarf göngin til að vera aðgengilegt getur ekki verið næsta stökkið sem byggir göngin.

Þannig að fyrsta prófunin er ekki «er gáttin í gangi» heldur «er gáttin á þessari tengingu». Eigið undirnet fartölvunnar, ARP- eða nágrannafærsla hennar og viðmótið á leiðinni verða öll að stemma. Fang sem er aðeins til inni í 10.70.0.0/24 getur verið áfanginn á annarri leið, en aldrei via fyrir þá fyrstu.

Hvað næsta stökk krefst af gáttinni

Að setja leiðina upp á fartölvunni ræður aðeins fyrstu afhendingunni. Síðan þarf gáttin sína eigin slóð: framsendingu virkjaða, gönguleið fyrir 10.70.0.0/24 og hverja þá aðgangsstefnu sem ræður því hver má nota hana. Á Linux er það net.ipv4.ip_forward=1 auk gönguleiðar; eldveggur fyrir framan hana þarf reglu sem leyfir framsendu strauminn.

Afturáttin er sá hluti sem fólk gleymir. Fjarlæga hliðin verður að hafa leið til baka að 192.168.20.0/24, eða hönnunin verður að þýða uppruna fartölvunnar í eitthvað sem fjarlæga hliðin þekkir. Ping sem virkar frá gáttinni sannar að gáttin nær til fjarnetsins; það segir ekkert um hvort pakkar fartölvunnar lifi heimferðina af.

Staðfestu uppflettinguna frá hýsinu sem sendir

Spurðu kjarnann hvaða næsta stökk hann myndi velja og lestu viðmótið í svarinu:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Ef uppflettingin greinir frá gáttinni og LAN-viðmótinu er fyrsti leggurinn stilltur eins og ætlað var. Ef hún greinir frá göngutækinu, er eitthvað fyrr í töflunni nákvæmara og vinnur. Ef leiðin er alls ekki sett upp segir kjarninn þér að gáttin sé óaðgengileg, og sú skilaboð eru nytsamlegri en nokkur pakkamyndun.

Endurtaktu síðan prófið frá réttum stað. Beiðni sem er búin til á gáttinni notar eigið upprunafang gáttarinnar, sem getur falið vantaða afturleið eða stefnu sem leyfir aðeins tilteknar uppsprettur. ip-route-handbókin aðgreinir áfangann, gáttina og onlink-yfirskriftina, og yfirskriftin er þess virði að skilja áður en þú notar hana.

Notaðu ekki onlink til að þykjast aðgengilegur

onlink segir kjarnanum að sleppa aðgengisprófun gáttar og senda samt þangað. Það býr ekki til slóð, leysir ekki ARP fyrir fang sem er ekki þar og fær ekki fjarlægan beini til að svara á Ethernet-þættinum þínum. Það er lögmætt fyrir gáttir sem svara en sitja ekki í tengdu undirneti, og það er gildra þegar það er notað til að þagga niður villu sem þú hefur ekki útskýrt.

Ef leiðin er aðeins sett upp með onlink er næsta spurning hvers vegna gáttin er ekki þar sem þú heldur. Rangt VLAN, annað fang á röngu viðmóti eða prentvilla í síðasta oktettinum framleiða allt þetta, og hvert þeirra brýtur líka afturleiðina um leið og umferðin byrjar að streyma.

Punkt-til-punkt göng eru ekki Ethernet

Göngutæki gerir ekki ARP og hefur oft ekkert merkilegt undirnet nágranna. Leiðir þess líta oft út eins og 10.70.0.0/24 dev tun0, án nokkurs via, því jafninginn er eini annar endapunkturinn. Að afrita via í LAN-stíl inn í þá töflu framleiðir leið sem kjarninn gæti hafnað eða, verra, eina sem bendir á fang sem jafninginn svarar aldrei.

Haltu módelnunum tveimur aðskildum í handbókinni: LAN-leið hefur aðgengilega gátt, gönguleið hefur viðmót og jafningja. WireGuard, OpenVPN og IPsec sýna öll svolítið ólík form, svo skráðu formið sem þú notaðir í raun í stað þess að alhæfa út frá einu hýsi.

Bættu við, staðfestu, veltu til baka

Öll breytingin er þrjár skipanir og ein prófun, og hún ætti að vera skrifuð í þeirri röð:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Staðfestu slóðina, staðfestu einn áfanga og hafðu síðan eyðingarlínuna til reiðu ef breytingin gerir hýsið óaðgengilegt á þann hátt sem þú spáðir ekki fyrir. Ef leiðin á að lifa endurræsingu af skaltu setja hana í netstillingar hýsisins frekar en í skeljarprófíl, og prófa endurræsinguna áður en þú treystir á hana. Leið sem er aðeins til í skelinni sem bætti henni við er leið sem þú munt kemba tvisvar.