VPN-ადაპტერი აჩვენებს /32-ს: ეს ერთ დანიშნულებას არ ნიშნავს

ადაპტერები აჩვენებენ 255.255.255.255-ს და ხშირად დასკვნა ისაა, რომ VPN ზუსტად ერთ მისამართს აღწევს. ეს წაკითხვა კლიენტის საკუთარ მისამართს ურევს გვირაბით მარშრუტირებული დანიშნულებების სიმრავლეს. წერტილ-წერტილ ან მარშრუტირებულ ინტერფეისზე ეს ორი სხვადასხვა ობიექტია და მათგან მხოლოდ ერთი ზღუდავს მიწვდომას. მითი იმიტომ ძლებს, რომ ნიღაბი Ethernet-ზე ნასწავლ ქვექსელის ნიღაბს ჰგავს.

მითი: ჰოსტის ნიღაბი ერთ მისაწვდომ ჰოსტს ნიშნავს

/32 მინიჭება ინტერფეისს ეუბნება, რომელი მისამართი ეკუთვნის კავშირის ამ ბოლოს, და წერტილ-წერტილ კავშირზე ეს არის ყველაფერი, რასაც ნიშნავს. პარტნიორის მისამართი ცალკე ველია, ხოლო მარშრუტები, რომლებიც ამბობენ, რა არის პარტნიორის იქით, კვლავ ცალკეა. ნიღაბში არაფერი აღწერს შორეულ ქსელს, რადგან ნიღაბი არ არის ის ადგილი, სადაც შორეულ ქსელებს აღწერენ. მისი მიწვდომის ზღვრად წაკითხვა იგივეა, რაც საკუთარი სახლის ნომრის წაკითხვა ყველა იმ მისამართის სიად, რომელთა მონახულებაც დაშვებული გაქვთ.

დაბნეულობას რეალური ფესვი აქვს: Ethernet-ზე ჰოსტის ნიღაბი ნამდვილად ნიშნავდა ერთ მისამართს ამ სეგმენტზე. გვირაბი Ethernet-ის სეგმენტი არ არის და რა გადის მასში, ამას კლიენტის მარშრუტიზაციის ცხრილი წყვეტს, არა ნიღაბი. ამიტომ იგივე /32 შეიძლება მთელი მონაცემთა ცენტრის წინ იდგეს.

წაიკითხეთ მისამართი და მარშრუტები ცალკე ობიექტებად

დაბეჭდეთ ინტერფეისი და ცხრილი ერთად, შემდეგ წაიკითხეთ ისინი როგორც ორი პასუხი ორ კითხვაზე. მისამართი პასუხობს, ვინ არის ეს ბოლო; მარშრუტები პასუხობენ, სად შეიძლება წავიდეს ტრაფიკი. მესამე კითხვა, რომელ დანიშნულებებს უშვებს კარიბჭე, კლიენტზე საერთოდ არ ჩანს. iproute2-ის მისამართების ცნობარი ლოკალური მისამართის, პარტნიორისა და პრეფიქსის მარშრუტის ველებს სწორედ ამიტომ აღწერს ცალ-ცალკე.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows-ში იგივე გაყოფაა მისამართების სიასა და მარშრუტიზაციის ცხრილს შორის და საძიებო ბრძანება ყველაზე სწრაფი გზაა იმის სანახავად, რომელი იმარჯვებს კონკრეტული დანიშნულებისთვის. თუ ძიება გვირაბის ინტერფეისს აბრუნებს, კლიენტი პაკეტს იქ გაგზავნის. თუ ის ფიზიკურ ადაპტერს აბრუნებს, კლიენტი არასოდეს ეკითხება VPN-ს და სერვერის მხარეს არც ერთი ნებართვა ამას არ შეცვლის. შეამოწმეთ ის დანიშნულება, რომელიც ნამდვილად გჭირდებათ და არა ზოგადი საჯარო მისამართი.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

გაჩერდით, თუ ძიება არასწორ ინტერფეისზე მიუთითებს. ეს კლიენტის მარშრუტიზაციის პრობლემაა და ის კლიენტზე სწორდება.

რატომ აუარესებს ნიღაბის გაფართოება ჩვეულებრივ მდგომარეობას

მინიჭების /24-ად შეცვლამ, რომ ოფისის LAN-ს დაემსგავსოს, შეიძლება კავშირზე პრეფიქსი შექმნას: ბირთვს ახლა სჯერა, რომ მთელი /24 პირდაპირ გვირაბის ინტერფეისს არის მიმაგრებული. მისამართების ტრაფიკი, რომლებიც კარიბჭის გავლით უნდა მარშრუტირდეს, შემდეგ ისე იგზავნება, თითქოს მეზობელი კავშირზეა. შედეგი შავი ხვრელია, რომელიც სერვერის ჩავარდნას ჰგავს.

ის ასევე მალავს ნამდვილ პრობლემას, ანუ დაკარგულ მარშრუტს ან კარიბჭეზე დაკარგულ ნებართვას. არც ერთს არ ქმნის უფრო ფართო ნიღაბი და ორივე ცვლილებას გადაურჩება. თუ დიზაინს ინტერფეისზე უფრო დიდი პრეფიქსი სჭირდება, ეს გამოყენებული ინტერფეისის მოდელის გადაწყვეტილებაა, მიღებული დოკუმენტაციით ხელში. ნიღაბის სხვა პროდუქტის ეკრანის სურათებიდან კოპირება ეს გადაწყვეტილება არ არის.

თუ შორეული პრეფიქსის მარშრუტი აკლია, გაასწორეთ მისი მომარაგება. თუ ის არსებობს და კავშირი მაინც უარყოფილია, ნიღაბი არასოდეს ყოფილა დიაგნოზი.

როცა მარშრუტი სწორია და ნაკადი მაინც ვერ ახერხებს

სწორი მარშრუტი მხოლოდ იმას ამტკიცებს, რომ კლიენტი პაკეტს გაგზავნის. კარიბჭემ მაინც უნდა მიიღოს დანიშნულება, დაბრუნების გზა უნდა არსებობდეს მინიჭებული მისამართისთვის და სერვისმა უნდა დაუშვას ნაკადი. გამოსცადეთ ეს სამი ცალ-ცალკე: ძიება კლიენტზე, კარიბჭის დაშვებული არე და მოთხოვნა ერთ საჭირო სერვერზე. ავთენტიფიკაციის წარმატება მანამ, სანამ სამივე ადგილზეა, ნორმალურია და სწორედ ამიტომ დაკავშირებული კლიენტი მაინც ვერაფერს აღწევს.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

ქსელური ობიექტები და ჯგუფის ნებართვები შეინახეთ მათ მფლობელთან, მოწყობილობით მართულ სერვისში. რას ეუბნებიან კლიენტს, რომ მიაღწიოს და რისი გამოყენებაც დაშვებული აქვს, სხვადასხვა პარამეტრია, ხშირად სხვადასხვა ეკრანზე. ერთის შეცვლა და მეორის გამოცდა ის არის, როგორ ხტება ბილეთი ორ გუნდს შორის.

მითი, რომელიც პენსიაზე უნდა გავიდეს, არის ის, რომ ნიღაბი მიწვდომის ზღვარია. წაიკითხეთ მისამართი, მარშრუტები და კარიბჭის პოლიტიკა სამ ცალკე ფაქტად, და /32 შეწყვეტს შეზღუდვად ჩვენებას და დაიწყებს ჩვეულებრივ გვირაბის მინიჭებად ჩვენებას.