I dispositivi locali spariscono sulla VPN: tre guasti separati

Una stampante che sparisce dall’elenco dei dispositivi quando la VPN si attiva può ancora rispondere al suo indirizzo. L’elenco è popolato dall’individuazione, il nome può venire da un resolver e il servizio stesso è raggiunto tramite un socket, e i tre possono fallire in modo indipendente. Confrontare ciò che funziona a ogni livello ti dice quale funzione cambiare. Attivare prima tutte le eccezioni di accesso locale elimina le prove.

Questa è la differenza tra un dispositivo mancante e un dispositivo che semplicemente non viene annunciato.

Individuazione, nomi e raggiungibilità sono tre livelli

I protocolli di individuazione si basano su multicast o broadcast, e questi non attraversano un tunnel instradato per impostazione predefinita, per questo un dispositivo può sparire da un elenco pur restando perfettamente raggiungibile. La risoluzione dei nomi è un secondo livello: una VPN può cambiare il resolver, e un nome a cui prima rispondeva la rete locale ora può essere risolto altrove o per nulla. La raggiungibilità è il terzo: una rotta, una regola del firewall e un servizio in ascolto. Ogni livello può rompersi mentre gli altri due sono a posto.

Provale dal basso verso l’alto. Un solo controllo di raggiungibilità rende evidente la separazione: nc -vz 192.168.1.20 443 o riesce, il che significa che il percorso e il servizio sono a posto e il nome è il sospetto, o fallisce, il che sposta la domanda su instradamento e criteri. Poi chiedi il nome. Il primo guasto che incontri è il livello su cui lavorare, e i livelli superiori non possono compensarlo.

Chiedi prima l’indirizzo, poi il nome host

Se l’indirizzo risponde e il nome no, il problema è la risoluzione e non l’instradamento. Un client VPN che installa un proprio resolver può cambiare quale server risponde ai nomi locali, e uno che non inoltra il dominio locale lascia il nome senza risposta. Se anche l’indirizzo fallisce, il problema è il percorso: una rotta predefinita attraverso il tunnel, un blocco del traffico locale lato client o una regola del firewall che consente solo l’interfaccia fisica.

Se entrambi funzionano ma l’individuazione automatica no, il dispositivo semplicemente non si annuncia attraverso il tunnel. È il comportamento atteso per l’individuazione basata su multicast, non un guasto di configurazione. Aggiungere il dispositivo per indirizzo è di solito la soluzione onesta.

Che cosa cambia davvero l’interruttore di accesso locale

Un’impostazione di accesso alla rete locale di solito consente al traffico verso la sottorete collegata direttamente di aggirare il tunnel, e fa cose diverse in client diversi. Non configura l’inoltro verso un ufficio remoto e non cambia il firewall dell’host né i permessi propri dell’applicazione. Non rende nemmeno inequivocabile una sottorete sovrapposta. Leggi la documentazione del client su cosa copre l’impostazione prima di attivarla in modo ampio.

Un’eccezione stretta per un solo dispositivo fidato è meglio di un’autorizzazione generale, soprattutto su una rete guest dove il blocco può essere deliberato. Un indirizzo privato non è un controllo d’identità, quindi la scelta dipende dalla rete in cui ti trovi.

Quando le reti si sovrappongono

Se la rete di casa e quella remota usano lo stesso intervallo, l’instradamento diventa ambiguo e né l’interruttore di accesso locale né un’eccezione lo risolvono. Due servizi allo stesso indirizzo non possono essere raggiunti entrambi, e quale vince dipende dalla specificità della rotta e dall’ordine, non dall’intenzione. La soluzione è la pianificazione degli indirizzi, non un’impostazione del client. Controlla gli intervalli prima di passare una serata con la stampante.

Per un dispositivo dietro il gateway remoto, l’operatore possiede l’inoltro, i criteri dell’host e la rotta di ritorno. Una casella locale nel client non può fornire nessuna di queste cose, e chiederla è più produttivo che sperimentare con gli interruttori.

Annota quale livello ha fallito e cosa hai cambiato. Il prossimo dispositivo fallirà in uno degli stessi tre punti.