Неге толық туннельді VPN маршрутталған жергілікті VLAN-дарды жасырады

allow local network параметрі маршрутизаторыңыздың артындағы VLAN-дар туралы ештеңе білмейді. Жергілікті шлюз арқылы өтетін нақты маршрут сақтау және зертхана ішкі желілерін қолжетімді күйде ұстайды.

VPN клиентіндегі «allow local network» қосқышы ғимараттағының бәрін қамтитындай естіледі. Іс жүзінде ол әдетте туннельдің әдепкі маршрутына бірнеше жеке мекенжай ерекшелігін қосып, сол жерде тоқтайды. Сіздің сақтау VLAN-ыңыз қолжетімді болып қалады тек егер сол нақты префикс үшін маршрут туннельдің келуінен аман өтсе, және көптеген клиенттерде бұлай болмайды.

Бұл VPN параметрі емес, маршруттау мәселесі, бұл жақсы жаңалық: оның нақты жауабы бар.

allow-local-network шын мәнінде нені қамтиды

Клиенттер бұл параметрді әртүрлі жүзеге асырады. Кейбіреулері машина қосылған ішкі желі үшін маршруттар қосады, кейбіреулері RFC 1918 ауқымдарын қосады, ал аздағандары тек әдепкі шлюзді шығарып тастайды. Олардың ешқайсысы сіздің кеңсе маршрутизаторыңыз сақтау VLAN-ын, зертхана сегментін немесе принтер ішкі желісін де қызмет ететінін білмейді, өйткені бұл префикстер клиент көретін сымда жоқ. Белгі сіздің топологияңызды сипаттайды деп болжамдаудың орнына нақты әрекет үшін клиенттің өз құжаттамасын оқыңыз.

Айырмашылық толық туннельдік дизайнда барынша маңызды, онда клиент барлық трафик VPN арқылы өтуі үшін әдепкі маршрутты әдейі ауыстырады. Бұл дизайнның бүкіл мәні, және дәл осы жергілікті маршрутталған желілерді жоғалтады. Оларды ешқашан өз маршруты қамтыған емес; олар дәл жаңа ауыстырылған әдепкі маршрутта жүретін. Клиент өзінің бар екенін білмейтін нәрсені маршруттай алмайды, және ол тек өз интерфейсіне тіркелген префикстерді үйренеді. Қалғанының бәрін топологияны білетін адам сипаттауы керек.

Қосылған маршруттар бірінші маршрутизаторда тоқтайды

192.168.10.20/24 мекенжайындағы, шлюзі 192.168.10.1 жұмыс станциясы 192.168.10.0/24 үшін қосылған маршрутты автоматты түрде алады. 192.168.20.0/24 мекенжайындағы сақтау VLAN-ы басқа префикс, оған тек сол шлюз арқылы жетуге болады, ал жұмыс станциясында ол үшін әдепкіден басқа маршрут жоқ. Туннель көтерілмес бұрын қарапайым әдепкі маршрут сақтау трафигін кездейсоқ 192.168.10.1-ге жібереді және бәрі жұмыс істейді.

VPN толық туннельдің әдепкі маршрутын орнатқанда, 192.168.20.1-ге арналған пакеттер жаңа әдепкіге ілесіп туннельге кіреді. Қашықтағы шлюздің бұл префикс қайда тұратыны туралы түсінігі жоқ, сондықтан ол оларды тастайды немесе пайдасыз жерге жібереді. Сақтау VLAN-ында ештеңе дұрыс конфигурацияланбаған еді; оның жолы қарызға алынған болатын, ал қарыз қайтарып алынды.

Азғыру — /1 маршрут жұбы немесе екінші әдепкі сияқты кең ерекшелікке ұмтылу. Оған қарсы тұрыңыз. Ерекшелік неғұрлым тар болса, желі өзгерген кезде оны түсіндіру, тексеру және жою соғұрлым оңай.

Ерекшелікті жеңетін кестеге қойыңыз

Бір маршруттау кестесінің ішінде /24 ең ұзын префикс сәйкестігі бойынша /0 немесе /1-ді жеңеді, сондықтан жергілікті шлюз арқылы сақтау VLAN-ына нақты маршрут жеткілікті, тек кестеге жалпы қаралса. Linux-та әдеттегі пішін қысқа:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Саясат негізіндегі маршруттау бұл кепілдікті күрделендіреді. Ертерек ереже трафикті өзінің әдепкі маршруты туннельге бағытталған кестеге жіберуі мүмкін, сонда сіздің /24-іңіз бар негізгі кестеге ешқашан жетілмейді. Маршрутты беделді деп санамас бұрын ережелерді тексеріңіз, өйткені дұрыс кестеде дұрыс көрінетін жазба сынған маршрутқа ұқсайтын ақауды түсіндіреді.

Содан кейін жазбаны клиент қолдайтын механизм немесе интерфейске иелік ететін желі менеджері арқылы тұрақты етіңіз. Пәрмен жолында терелген маршрут келесі қайта қосылуда жоғалады, ал бір Wi-Fi шлюзіне байланған маршрут ноутбук баратын келесі желіге көшірілмейді.

Атаулар мен саясат маршруттарға ілеспейді

Маршрутты түзету пакеттерді қайтарады, атауларды емес. Егер жергілікті құрылғылар олар туралы ештеңе білмейтін таңылған шешуші арқылы шешілсе, мекенжай қолжетімді болса да тіркеу әлі де сәтсіз аяқталады. Жергілікті атауларға жергілікті немесе бөлінген DNS тәртібі қажет, және бұл маршрут ерекшелігінен бөлек шешім.

Саясат тағы бөлек. VPN клиентінің жергілікті қатынас сүзгісі жеке ауқымдарға трафикті әдейі тыйым сала алады, ал маршрут бұл ережені жоймайды. Сенімсіз желіде жеке мекенжай да межелер сіздің сақтау серверіңіз екенінің дәлелі емес, сондықтан ерекшелік маршруттың өзіндей нақты болуы керек.

Тапсыруға болатын келісім

Дайын дизайн қысқа тізім ретінде оқылуы керек: жалпы интернет трафигі туннельге ілеседі, ал осы аталған жергілікті префикстер жергілікті маршрутизатор арқылы өз жолын сақтайды. Префикстерді, келесі қадамды және олармен бірге жүретін DNS жұрнағын жазып қойыңыз, және тізімді біреу маршруттау кестесін оқымай-ақ тексере алатындай қысқа ұстаңыз.

Жергілікті және қашықтағы ауқымдардың қабаттасуына назар аударыңыз. VPN-ның артындағы бір нәрсемен префиксті бөлісетін сақтау VLAN-ы неғұрлым нақты маршрутқа шешіледі, және нәтижесіндегі әрекет үзілісті болып көрінетіндей шатастырады. Бір жағын қайта нөмірлеу әдетте белгісіздікті мәңгі жөндеуден арзанырақ.

Келісімді екі рет тексеріңіз: бір рет туннель көтерілгенде және бір рет ол түсірілгенде. Егер жергілікті жол осы күйлердің тек біреуінде жұмыс істесе, ерекшелік әлі келісім емес.

Қатысты мақалалар