Copiare il /32 del tunnel non instrada la sottorete dell’ufficio

La VPN si connette, l’interfaccia mostra un indirizzo con una maschera di trentadue bit e il server dell’ufficio resta irraggiungibile. Il passo successivo è spesso riutilizzare quella maschera in una rotta, sulla teoria che l’interfaccia descriva ciò che il tunnel può raggiungere. Non lo fa. Quell’indirizzo descrive l’estremo locale di un collegamento punto a punto, e la destinazione che vi interessa vive in un prefisso diverso dall’altra parte.

Si stanno confondendo due cose diverse: l’indirizzo che il tunnel vi ha dato e la rete che volete raggiungere attraverso di esso.

Due indirizzi, due compiti

Su un tunnel punto a punto, l’indirizzo del client è spesso un unico indirizzo host perché c’è esattamente un peer all’altro estremo del collegamento. Non c’è un segmento condiviso né ARP, quindi una maschera che sembrerebbe assurda su Ethernet qui è del tutto normale.

Il prefisso di destinazione è un fatto sulla rete dell’ufficio, non sul tunnel. Se vi serve un server, la rotta è una rotta host per quel server. Se vi serve l’intera sottorete dell’ufficio, la rotta è la sottorete. Nessuna delle due risposte si legge dall’interfaccia, e sceglierne una perché è comparsa accanto all’indirizzo del tunnel è il modo in cui una configurazione funzionante si rompe.

Questa terza riga è dove l’ottimismo diventa un’interruzione. Instradare un intero intervallo privato in un tunnel che serve un solo sito spinge traffico non correlato verso un percorso che non può consegnarlo, e i guasti risultanti sembrano una VPN rotta più che una rotta troppo ampia.

Scegliete il prefisso dal requisito

Scrivete il requisito come una frase prima di toccare un profilo: quali host devono essere raggiungibili e qual è il prefisso più stretto che li copre? Un singolo server è una rotta host. Una sottorete è una rotta di sottorete. Un intervallo di sottoreti è un riepilogo, e un riepilogo è una promessa che ogni indirizzo al suo interno è raggiungibile, cosa raramente vera.

Poi confrontate il numero con ciò che l’ufficio usa davvero. Copiare un prefisso da un messaggio di chat senza confermarlo con il piano di indirizzamento del sito è il modo in cui una rotta finisce per puntare a una sottorete che nessuno possiede.

Ricordate anche che una rotta è un percorso, non un permesso. Il gateway decide ancora se il vostro client può usare la destinazione, e un servizio può ancora rifiutarvi. Installare correttamente la rotta fa arrivare il pacchetto e non risponde nulla sull’autorizzazione.

Aggiungete al profilo, non sostituitelo mai

Le rotte in un profilo NetworkManager sono una proprietà a più valori, e la differenza tra impostare e aggiungere è un carattere. Usate la forma con più per aggiungere una voce e conservare tutto ciò che è già salvato.

nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
  +ipv4.routes "10.40.20.9/32"

Senza il più, l’assegnazione sostituisce l’intero elenco. Su un profilo che porta già diversi prefissi, ciò cancella silenziosamente quelli che funzionavano, e il sintomo arriva più tardi come un servizio che prima era raggiungibile da questo portatile.

Usate l’UUID invece del nome. I nomi vengono duplicati dopo i ripristini, e la connessione che state modificando potrebbe non essere quella che porta il vostro traffico. Controllate prima se esiste già una voce identica, perché aggiungere un duplicato è disordinato anche quando è innocuo.

La referenza delle proprietà di rotta documenta la destinazione, il prossimo salto opzionale, la metrica e la sintassi degli attributi per la versione installata. Leggetela prima di aggiungere un prossimo salto, perché se ne serve uno dipende dall’integrazione e dalla topologia, e indovinarlo dal primo indirizzo in un elenco di interfacce non è un metodo.

La rotta predefinita e il DNS sono decisioni separate

Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.

Le rotte automatiche sono l’altra cosa che non va disturbata alla leggera. Sopprimerle per risolvere una voce mancante può rimuoverne diverse che funzionano, e chi lo ha suggerito di solito guardava un altro profilo con altri push.

Il DNS ha il suo percorso e i suoi guasti. Un nome che si risolve all’indirizzo giusto tramite il resolver sbagliato, o un resolver che non può rispondere per la zona privata, sembrerà un problema di instradamento mentre la rotta è perfetta. Testate l’indirizzo e il nome separatamente, poi decidete quale livello ha effettivamente fallito.

Verificate ciò che è stato applicato

Una modifica salvata non è una modifica applicata. Riconnettetevi tramite il ciclo di vita supportato del gestore, poi guardate la rotta reale per la destinazione prevista e le regole di policy che decidono quale tabella viene consultata.

Se il prefisso c’è e la connessione continua a fallire, siete passati a un altro problema: selezione dell’indirizzo di origine, una rotta di ritorno all’estremo remoto o un servizio che rifiuta il vostro client. Ognuno di questi è un posto migliore dove guardare rispetto al profilo che avete già corretto.