მიეცით LAN ჰოსტებს VPN-ის დაბრუნების მარშრუტი DHCP-ის 121 პარამეტრით

დისტანციური VPN კლიენტები უკავშირდებიან, LAN სერვერი პასუხობს, და პასუხი ჩვეულებრივი ინტერნეტ როუტერის გავლით გადის და იქ იღუპება. ერთი სერვერი შეიძლება გამოსწორდეს სტატიკური მარშრუტით, მაგრამ მათი მთელი ქვექსელი უკეთესია მართოთ იქ, სადაც ისინი უკვე იღებენ თავიანთ ქსელურ კონფიგურაციას. DHCPv4-ის 121 პარამეტრი ავრცელებს ზუსტად ასეთ დანიშნულების მარშრუტს, და ეს არის ის ნაწილი, რომელშიც ადამიანები ჩვეულებრივ შეცდებიან იმ წამს, როცა ნაგულისხმევს ივიწყებენ. სიმპტომია ცალმხრივი ტრაფიკი: მოთხოვნები მოდის და პასუხები ქრება.

ჯერ დაასახელეთ სამი მისამართი

აიღეთ კონკრეტული LAN: 192.168.50.0/24 ჩვეულებრივი ნაგულისხმევი როუტერით 192.168.50.1-ზე და ცალკე VPN კარიბჭით 192.168.50.2-ზე. ავთენტიფიცირებული დისტანციური კლიენტები იკავებენ 10.90.0.0/24-ს.

მარშრუტი, რომელიც სჭირდება ყველა მონაწილე ჰოსტს, არის 10.90.0.0/24 via 192.168.50.2. დანიშნულება კლიენტების პულია, ხოლო შემდეგი ნახტომი კარიბჭის LAN მისამართია და არა მისი გვირაბის მისამართი.

დაშიფრეთ ის როგორც კლასების გარეშე სტატიკური მარშრუტი

121 პარამეტრი ატარებს პრეფიქსის და შემდეგი ნახტომის წყვილებს, და RFC 3442 განსაზღვრავს როგორც დაშიფვრას, ისე მისგან გამომდინარე კლიენტის ქცევას. არსებული dnsmasq-ის ეგზემპლარისთვის, რომელიც მხოლოდ ამ საილუსტრაციო LAN-ს ემსახურება, კონფიგურაციის ფორმა ასეთია:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

ეს ფრაგმენტია და არა ახალი DHCP სერვისი. რამდენიმე სეგმენტის მომსახურე სერვერზე შეზღუდეთ პარამეტრი იმ ტეგებით ან ქსელური პოლიტიკით, რომელსაც უკვე იყენებთ. წინა კონფიგურაცია ხელთ გქონდეთ, რადგან უკან დაბრუნება კიდევ ერთი იჯარის განახლებას ნიშნავს და არა გადატვირთვას.

არ დაკარგოთ ნაგულისხმევი მარშრუტი

ეს არის ხაფანგი. კლიენტმა, რომელიც 121 პარამეტრს იღებს, უნდა უგულებელყოს ჩვეულებრივი Router პარამეტრი, ამიტომ მხოლოდ VPN პულის მარშრუტის გამოცხადებამ შეიძლება ის ჰოსტი საერთოდ ნაგულისხმევი მარშრუტის გარეშე დატოვოს. მანქანა კვლავ კონფიგურირებულად გამოიყურება და ჩუმად კარგავს ინტერნეტს. მომხმარებლები ამას აღწერენ როგორც ქსელის გათიშვას, მაშინ როცა ყველა ინტერფეისი ჩართულია.

ჩართეთ სასურველი ნაგულისხმევი იმავე სიაში, როგორც ზემოთ მოცემული ფრაგმენტი აკეთებს. შეინახეთ ჩვეულებრივი Router პარამეტრიც ადგილზე, იმ კლიენტებისთვის, რომლებიც კლასების გარეშე მარშრუტებს არ ახორციელებენ; სერვერის საკუთარი პარამეტრების დამუშავება წყვეტს, რა გაეგზავნოს ვის.

შეამოწმეთ, რას მიიღებს კლიენტი

ხელით მისამართმინიჭებული ჰოსტი ამას არასოდეს აითვისებს, რადგან იჯარას არ ითხოვს. კლიენტების მხარდაჭერაც განსხვავებულია, ამიტომ სცადეთ იმ ოპერაციულ სისტემაზე, რომელსაც რეალურად იყენებთ, ნაცვლად იმისა, რომ ჩათვალოთ, თითქოს ყველა მოწყობილობა პატივს სცემს 121 პარამეტრს. დაადასტურეთ იმ სერვერების მფლობელებთან, რომელია სტატიკური მისამართით. ამ ჰოსტებს საკუთარი მარშრუტის ჩანაწერები სჭირდებათ, თორემ ისინი უბრალოდ არ მიიღებენ მონაწილეობას.

მართული DHCP სერვისები კიდევ ერთი ზღვარია. ზოგიერთი ღრუბლოვანი ქსელი არ აძლევს ადმინისტრატორებს თვითნებური პარამეტრების გამოქვეყნების უფლებას, და კონკურენტი DHCP სერვერი იმავე სეგმენტზე უარესია, ვიდრე პარამეტრის სრული არარსებობა.

შეამოწმეთ იჯარა, შემდეგ ძიება

სთხოვეთ DHCP-ის მფლობელს ცვლილების გამოყენება, შემდეგ განაახლეთ იჯარა კლიენტზე. არსებული იჯარები ძველ კონფიგურაციას ინახავენ განახლებამდე, ამიტომ მყისიერი შედეგი გარანტირებული არ არის.

Linux კლიენტზე წაიკითხეთ ფაქტობრივი მარშრუტები და დაადასტურეთ ორივე ჩანაწერი:

ip -4 route
ip -4 route get 10.90.0.23

კონტექსტური ძიება უნდა აჩვენებდეს პულის მარშრუტს 192.168.50.2-ის გავლით და ნაგულისხმევს 192.168.50.1-ის გავლით. თუ ნაგულისხმევი აკლია, ზემოთ მოცემული ხაფანგი გაამრავლეთ.

შემდეგ გამოსცადეთ ნამდვილი გაცვლა

მარშრუტების განაწილება მთელი გზა არ არის. ცალკე კარიბჭეს კვლავ სჭირდება გადამისამართება, დისტანციური პირების საკუთრება და წვდომის პოლიტიკა, რომელიც სერვერს უშვებს, და DHCP არავის ავთენტიფიცირებს.

ბოლოს, შეინახეთ მოხსნის გეგმა. ნასწავლი სტატიკური მარშრუტი თავისით არ იხსნება, როცა VPN ვარდება, ამიტომ მოძველებულმა შემდეგმა ნახტომმა შეიძლება ის პრეფიქსი შავ ხვრელად აქციოს გვირაბის გაქრობიდან დიდი ხნის შემდეგ.