DHCP-тің 121 параметрімен LAN хосттарына VPN қайтару маршрутын беріңіз

Қашықтағы VPN клиенттері қосылады, LAN сервері жауап береді, ал жауап кәдімгі интернет маршрутизаторы арқылы шығып, сонда өледі. Бір серверді статикалық маршрутпен түзетуге болады, бірақ олардың бүкіл қосалқы желісін олар қазірдің өзінде желілік конфигурациясын алатын жерде басқарған дұрыс. DHCPv4-тің 121 параметрі дәл осындай межелік маршрутын таратады, және адамдар әдепкіні ұмытқан кезде қателесетін бөлік осы. Симптом — бір бағытты трафик: сұраныстар келеді, жауаптар жоғалады.

Алдымен үш мекенжайды атаңыз

Нақты LAN алыңыз: 192.168.50.0/24, әдеттегі әдепкі маршрутизатор 192.168.50.1-де және бөлек VPN қақпасы 192.168.50.2-де. Аутентификацияланған қашықтағы клиенттер 10.90.0.0/24-ды алады.

Әрбір қатысушы хостқа қажет маршрут — 10.90.0.0/24 via 192.168.50.2. Межелік — клиенттер пулы, ал келесі секіріс қақпаның туннель мекенжайы емес, LAN мекенжайы.

Оны классыз статикалық маршрут ретінде кодтаңыз

121 параметрі префикс пен келесі секірістің жұптарын тасымалдайды, ал RFC 3442 кодтауды да, одан туындайтын клиент мінез-құлқын да анықтайды. Тек осы мысалдағы LAN-ға қызмет көрсететін қолданыстағы dnsmasq данасы үшін конфигурация пішімі мынадай:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Бұл үзінді, жаңа DHCP қызметі емес. Бірнеше сегментке қызмет көрсететін серверде параметрді өзіңіз қолданып жүрген тегтермен немесе желілік саясатпен шектеңіз. Алдыңғы конфигурацияны қолда ұстаңыз, өйткені оны кері қайтару қайта жүктеу емес, тағы бір жалдау жаңартуын білдіреді.

Әдепкі маршрутты жоғалтпаңыз

Бұл тұзақ. 121 параметрін алған клиент кәдімгі Router параметрін елемеуі керек, сондықтан тек VPN пулының маршрутын жариялау сол хостты мүлдем әдепкі маршрутсыз қалдыруы мүмкін. Машина әлі де конфигурацияланған болып көрінеді және интернетті үнсіз жоғалтады. Пайдаланушылар мұны барлық интерфейс қосулы тұрғанда желі өшіп қалды деп сипаттайды.

Жоғарыдағы үзінді жасағанындай, көзделген әдепкіні сол тізімге қосыңыз. Классыз маршруттарды іске асырмайтын клиенттер үшін кәдімгі Router параметрін де орнында қалдырыңыз; кімге нені жіберу керегін сервердің өзінің параметрлерді өңдеуі шешеді.

Клиент нені қабылдайтынын тексеріңіз

Қолмен мекенжай берілген хост мұны ешқашан қабылдамайды, өйткені ол жалдау сұрамайды. Клиенттердегі қолдау да әртүрлі, сондықтан әр құрылғы 121 параметрін сақтайды деп болжаудың орнына нақты іске қосатын операциялық жүйеде сынап көріңіз. Сол серверлердің иелерімен қайсысы статикалық мекенжайлы екенін нақтылаңыз. Ол хосттарға өз маршрут жазбалары қажет, әйтпесе олар жай ғана қатыспайды.

Басқарылатын DHCP қызметтері тағы бір шектеу. Кейбір бұлттық желілер әкімшілерге еркін параметрлерді жариялауға рұқсат бермейді, ал сол сегменттегі бәсекелес DHCP сервері параметрдің мүлде болмағанынан да жаман.

Жалдауды, содан кейін іздеуді тексеріңіз

DHCP иесінен өзгерістерді қолдануды сұраңыз, содан кейін клиентте жалдауды жаңартыңыз. Қолданыстағы жалдаулар жаңартылғанша ескі конфигурацияны сақтайды, сондықтан дереу нәтиже кепілдендірілмейді.

Linux клиентінде нақты маршруттарды оқып, екі жазбаны да растаңыз:

ip -4 route
ip -4 route get 10.90.0.23

Контекстік іздеу пул маршрутын 192.168.50.2 арқылы және әдепкіні 192.168.50.1 арқылы көрсетуі керек. Егер әдепкі жоқ болса, жоғарыдағы тұзақты қайталадыңыз.

Содан кейін нақты алмасуды сынаңыз

Маршруттарды тарату бүкіл жол емес. Бөлек қақпаға әлі де қайта бағыттау, қашықтағы әріптестердің меншігі және серверге рұқсат беретін қатынау саясаты қажет, ал DHCP ешкімді аутентификацияламайды.

Соңында жою жоспарын ұстаңыз. Үйренілген статикалық маршрут VPN құлағанда өзінен-өзі қайтып алынбайды, сондықтан ескірген келесі секіріс туннель жоғалғаннан кейін әлдеқайда ұзақ уақыт өткен соң сол префиксті қара құрдымға айналдыруы мүмкін.