როუტერი VPN კლიენტის რეჟიმში: რატომ ქრება LAN მოწყობილობები
LAN მოწყობილობები ქრება მას შემდეგ, რაც როუტერი VPN კლიენტის რეჟიმში გადადის: ჯერ შეამოწმეთ გადაცემის გზის ინსპექციის ფუნქცია, შემდეგ LAN დიაპაზონი, რომელიც firmware-მა თქვენ ქვეშ შეცვალა.
რწმენა, რომ კლიენტის რეჟიმი თავად კლავს LAN წვდომას, ადამიანებს არასწორ პარამეტრების მენიუში აგზავნის, და ნამდვილი მიზეზები ჩვეულებრივ ორია. გვირაბი არ აცილებს LAN ხიდს და არ უშლის ხელს სადენიან და უსადენო კლიენტებს ერთმანეთამდე მისვლაში. ლოკალურ წვდომას ამტვრევს ან როუტერის გადაცემის გზაში მდგარი ინსპექციის ფუნქცია, ან LAN მისამართების დიაპაზონი, რომელიც გადაიწია, როცა firmware-მა ეს გააკეთა. ორივე ერთსა და იმავე ჩივილს იწვევს და არც ერთი არ სწორდება VPN პროფილის ხელახალი ინსტალაციით.
მითი და რას ცვლის სინამდვილეში კლიენტის რეჟიმი
კლიენტის რეჟიმი ამატებს გვირაბის ინტერფეისს და ნაგულისხმევ მარშრუტს, რომელიც მასში გადის, შემდეგ კი LAN ტრაფიკს ამ გვირაბში გადასცემს. ხიდი სადენიან პორტებსა და უსადენო რადიოებს შორის უცვლელი რჩება, ისევე როგორც ლოკალური კომუტაცია. იცვლება პოლიტიკა: რომელი ტრაფიკი გადაეცემა, სად ითარგმნება და რომელ გადამწყვეტს იღებენ კლიენტები.
ეს განსხვავება მნიშვნელოვანია, რადგან გატეხილი LAN ჩვეულებრივ ნიშნავს, რომ ამ სამი პოლიტიკიდან ერთი შეიცვალა და არა ის, რომ როუტერმა შეწყვიტა კომუტატორი ყოფნა. როუტერი, რომელიც ჯერ კიდევ პასუხობს საკუთარ ადმინისტრირების გვერდს, მტკიცებულებაა, რომ LAN ინტერფეისი ცოცხალია. როუტერს, რომელიც საერთოდ არაფერს პასუხობს, სხვა პრობლემა აქვს, მაგალითად შეცვლილი LAN მისამართი ან არასწორ ქვექსელში მყოფი კლიენტი.
ამიტომ სასარგებლო პირველი ნაბიჯია იმის გარკვევა, რომელი ფენა გატყდა და არა იმ ფენის შეცვლა, რომელშიც ეჭვობთ.
სამიზნის შემოწმება სამ პარამეტრამდე
სადენიანი კლიენტიდან ცალ-ცალკე შეამოწმეთ სამი სამიზნე და ჩაწერეთ ყოველი შედეგი: თავად როუტერის LAN მისამართი, იმავე კომუტატორზე მყოფი სხვა მოწყობილობა IP-ით და ის, რაც მხოლოდ გვირაბით მისაწვდომია. გააკეთეთ ამ თანმიმდევრობით, რადგან ყოველი შედეგი სხვა ფენას გამორიცხავს. პირველ ტურში გამოიყენეთ მისამართები და არა სახელები, რადგან სახელის ჩავარდნა DNS-ს ურევს კავშირის კითხვას.
პასუხების ნიმუშია დიაგნოზი. როუტერი, რომელიც პასუხობს, მაშინ როცა ლოკალური მოწყობილობები არ პასუხობენ, მიუთითებს ლოკალურ კომუტაციაზე ან ფილტრაციის ფუნქციაზე და არა მარშრუტიზაციაზე. ლოკალური მოწყობილობები, რომლებიც პასუხობენ, მაშინ როცა გვირაბის მხარე არ პასუხობს, მიუთითებენ გვირაბის მარშრუტზე ან დისტანციურ firewall-ზე. თუ ყველაფერი მისამართით პასუხობს, სახელები კი ვარდება, ეს გადამწყვეტის საკითხია და მარშრუტის რედაქტირება ვერ გამოასწორებს.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
შეინახეთ ცხრილი ტესტის შედეგების გვერდით. ის ბუნდოვან ჩივილს ერთ მოქმედ ხაზად აქცევს.
უსაფრთხოების ფენა გადაცემის გზის შიგნით
სამომხმარებლო როუტერებს სულ უფრო ხშირად აქვთ ინსპექციის ფუნქცია, რომელიც აკვირდება გადაცემულ ტრაფიკს და მუშაობს იმავე გზაზე, რომლითაც პაკეტები LAN-იდან გვირაბში მიდის. როცა ეს ინსპექცია ვერ ახერხებს გვირაბის ტრაფიკის კლასიფიკაციას, გადაცემა შეიძლება გაიჭედოს, მაშინ როცა თავად გვირაბი აქტიური რჩება და როუტერი ჯანსაღ კავშირს აცხადებს. VPN ჟურნალში ეს არ ჩანს, რადგან VPN ნამდვილად დაუკავშირდა.
დიაგნოზი კონტროლირებადი ექსპერიმენტია და არა მუდმივი ცვლილება. ჩაწერეთ მიმდინარე პარამეტრი, გამორთეთ ფუნქცია ერთი ტესტის ხანგრძლივობით, ისევ ასწიეთ გვირაბი და შეამოწმეთ ერთი ლოკალური ჰოსტი მისამართით. დაბრუნებული გადაცემა თქვენთვის საჭირო მტკიცებულებაა და კომპრომისი მაშინ გადაწყვეტილებად იქცევა, ვარაუდის ნაცვლად. თუ არაფერი შეიცვალა, დაუყოვნებლივ ჩართეთ ისევ და გადადით მისამართების მიზეზზე.
ფასიანი უსაფრთხოების ფუნქციის გამორთული დატოვება იმისთვის, რომ გვირაბი გააგრძელოს მუშაობა, კომპრომისია, რომელიც განზრახ უნდა გაკეთდეს და ჩაიწეროს. ღირს ასევე იკითხოთ, ხომ არ ეკუთვნის გვირაბი სხვა მოწყობილობას, რადგან ყველაფრის შემოწმებელი როუტერი და ყველაფრის გადამცემი როუტერი ორი განსხვავებული საქმეა.
მეორე მიზეზი: LAN დიაპაზონი გადაიწია
firmware-ის განახლებები რეგულარულად აბრუნებს LAN მისამართს მწარმოებლის ნაგულისხმევ მნიშვნელობაზე და ზოგი როუტერი აქვს გამოკვეთილი რეჟიმის გადამრთველი, რომელიც წყვეტს, LAN ინარჩუნებს კერძო დიაპაზონს თუ მემკვიდრეობით იღებს ზემოთა მოწყობილობისას. კლიენტი, რომელიც ელოდება 192.168.8.x-ს, შეიძლება აღმოჩნდეს 10.64.0.x-ზე და მაშინ ჰოსტთან SSH სესია ვადაგასული ხდება, თუმცა გვირაბი სრულიად ჯანსაღია.
ipconfig /all
ip addr show
ip route get 192.168.8.20წაიკითხეთ პრეფიქსი და კარიბჭე იჯარიდან სანამ როუტერის გვერდს გახსნით. პირველი ორი ბრძანება გვიჩვენებს, რა მიიღო კლიენტმა სინამდვილეში, ხოლო მესამე გვიჩვენებს, რომელ ინტერფეისს გამოიყენებდა კლიენტი ლოკალური მისამართისთვის და სწორედ ასე ავლენს თავს დარჩენილი მარშრუტი ან მოძველებული ქვექსელი. შემდეგ შეადარეთ ეს LAN გვერდს და რეჟიმს, რომელშიც როუტერი იმყოფება.
თუ დიაპაზონი ვერ ბრუნდება, განაახლეთ ყოველი ობიექტი, რომელიც მას ასახელებს: DHCP დაჯავშნები, ნებისმიერი სტატიკური მარშრუტი ძველ ქვექსელში და ყოველი firewall წესი, რომელიც წინა პრეფიქსს ატარებს. დიაპაზონი, რომელიც გვირაბის დისტანციურ ქვექსელს ეჯახება, უარესი ვარიანტია, რადგან ლოკალური მოწყობილობები ხელმისაწვდომი რჩება, დისტანციური დანიშნულებები კი ჩუმად არასწორად მიდის LAN-ში.
თავიდან დაუკავშირდით და პაკეტების რიგით ხელახლა შეამოწმეთ
ორივე ცვლილებიდან რომელიმეს შემდეგ თავიდან დაუკავშირდით გვირაბს და გაიმეორეთ ტესტები პაკეტების რიგით: როუტერი, ლოკალური ჰოსტი, დისტანციური ჰოსტი, შემდეგ სახელები, შემდეგ აპლიკაცია. აპლიკაციის პირველად შემოწმება მალავს, რომელი ფენა ჯერ კიდევ გატეხილია და ბრაუზერის ხელახალი ცდა ქეშირებულ სახელზე შეიძლება მარშრუტიზაციის ჩავარდნად გამოიყურებოდეს.
ჩაწერეთ firmware-ის ვერსია, LAN პრეფიქსი და ინსპექციის ფუნქციის მდგომარეობა VPN პროფილის გვერდით. სამივე კონფიგურაციაა, რომელიც შემდეგმა განახლებამ შეიძლება გადააწეროს, და ორი სტრიქონი შენიშვნა ზოგავს ახლახან გატარებულ საათს.