VPN клиент режиміндегі маршрутизатор: LAN құрылғылары неге жоғалады
Маршрутизатор VPN клиент режиміне өткеннен кейін LAN құрылғылары жоғалады: алдымен жіберу жолындағы тексеру функциясын, содан кейін firmware өзгерткен LAN ауқымын тексеріңіз.
Клиент режимінің өзі LAN қатынасын өлтіреді деген сенім адамдарды дұрыс емес параметрлер мәзіріне жібереді, ал нақты себептер әдетте екеу. Туннель LAN көпірін жоймайды және сымды мен сымсыз клиенттердің бір-біріне жетуіне кедергі жасамайды. Жергілікті қатынасты маршрутизатордың жіберу жолындағы тексеру функциясы немесе firmware өзгерткен кезде жылжыған LAN мекенжай ауқымы бұзады. Екеуі де бірдей шағым туғызады, және ешқайсысы VPN профилін қайта орнатумен түзелмейді.
Миф және клиент режимі шын мәнінде нені өзгертеді
Клиент режимі туннель интерфейсін және ол арқылы өтетін әдепкі маршрутты қосады, содан кейін LAN трафигін сол туннельге жібереді. Сымды порттар мен сымсыз радиолар арасындағы көпір өзгеріссіз қалады, жергілікті коммутация да. Өзгеретіні — саясат: қай трафик жіберіледі, қайда аударылады және клиенттер қандай шешуші алады.
Бұл айырмашылық маңызды, өйткені бұзылған LAN әдетте сол үш саясаттың біреуі өзгергенін білдіреді, маршрутизатор коммутатор болуды тоқтатқанын емес. Өз әкімшілік бетіне әлі жауап беретін маршрутизатор LAN интерфейсінің тірі екенінің дәлелі. Ешнәрсеге жауап бермейтін маршрутизатордың басқа мәселесі бар, мысалы өзгерген LAN мекенжайы немесе дұрыс емес қосымша желідегі клиент.
Сондықтан пайдалы бірінші қадам — қай қабат бұзылғанын табу, күдіктенген қабатты өзгерту емес.
Параметрге тиіспес бұрын үш нысанды тексеріңіз
Сымды клиенттен үш нысанды бөлек тексеріп, әр нәтижені жазыңыз: маршрутизатордың өз LAN мекенжайы, сол коммутатордағы басқа құрылғы IP бойынша, және тек туннель арқылы қолжетімді нәрсе. Оларды осы ретпен орындаңыз, өйткені әр нәтиже басқа қабатты жоққа шығарады. Бірінші айналымда атаулардың орнына мекенжайларды қолданыңыз, өйткені атау сәтсіздігі DNS-ті қосылым мәселесіне араластырады.
Жауаптар үлгісі — диагностика. Жергілікті құрылғылар жауап бермесе де маршрутизатор жауап берсе, бұл маршруттауға емес, жергілікті коммутацияға немесе сүзгілеу функциясына нұсқайды. Туннель жағы жауап бермесе де жергілікті құрылғылар жауап берсе, бұл туннель маршрутына немесе қашықтағы firewall-ға нұсқайды. Барлығы мекенжай бойынша жауап беріп, атаулар сәтсіз болса, бұл шешуші мәселесі, және маршрутты өңдеу оны түзетпейді.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Кестені тест нәтижелерінің қасында ұстаңыз. Ол бұлыңғыр шағымды әрекет етуге болатын бір жолға айналдырады.
Жіберу жолының ішіндегі қауіпсіздік қабаты
Тұтынушылық маршрутизаторларда жіберілетін трафикті бақылайтын тексеру функциясы жиі кездеседі, және ол LAN-нан туннельге пакеттерді таситын сол жолда жұмыс істейді. Бұл тексеру туннель трафигін жіктей алмаса, туннель өзі жұмыс істеп тұрса да және маршрутизатор сау қосылым туралы хабарласа да, жіберу тоқтап қалуы мүмкін. VPN журналында бұл көрінбейді, өйткені VPN шынымен қосылды.
Диагностика — бақыланатын эксперимент, тұрақты өзгеріс емес. Ағымдағы параметрді жазыңыз, функцияны бір тест ұзақтығына өшіріңіз, туннельді қайта көтеріңіз және бір жергілікті хостты мекенжай бойынша тексеріңіз. Қайта келген жіберу — сізге қажет дәлел, содан кейін ымыра болжамның орнына шешім болады. Ешнәрсе өзгермесе, оны дереу қайта қосып, мекенжай себебіне көшіңіз.
Туннель жұмысын жалғастыру үшін ақылы қауіпсіздік функциясын өшірулі қалдыру — саналы түрде жасалатын және жазылатын ымыра. Туннель басқа құрылғыда болуы керек пе деп сұрау да пайдалы, өйткені бәрін тексеруі керек маршрутизатор мен бәрін жіберуі керек маршрутизатор екі түрлі жұмыс.
Екінші себеп: LAN ауқымы жылжыды
Firmware жаңартулары LAN мекенжайын өндірушінің әдепкі мәніне жиі қайтарады, ал кейбір маршрутизаторларда LAN жеке ауқымды сақтай ма әлде жоғарғы құрылғыдан мұраға ала ма деп шешетін айқын режим қосқышы бар. 192.168.8.x күтетін клиент 10.64.0.x-ге түсіп қалуы мүмкін, содан кейін туннель мүлдем сау болса да хостқа SSH сессиясының уақыты бітеді.
ipconfig /all
ip addr show
ip route get 192.168.8.20Маршрутизатор бетін ашпас бұрын префикс пен шлюзді жалдаудан оқыңыз. Алғашқы екі команда клиенттің шын мәнінде не алғанын көрсетеді, ал үшіншісі клиенттің жергілікті мекенжай үшін қай интерфейсті қолданатынын көрсетеді, қалған маршрут немесе ескірген қосымша желі осылай ашылады. Содан кейін оны LAN бетімен және маршрутизатор тұрған режиммен салыстырыңыз.
Ауқым қайта алмаса, оны атайтын әр нысанды жаңартыңыз: DHCP резервтері, ескі қосымша желіге кез келген статикалық маршрут және алдыңғы префиксті таситын әр firewall ережесі. Туннельдің қашықтағы қосымша желісімен соқтығысатын ауқым нашар нұсқа, өйткені жергілікті құрылғылар қолжетімді болып қалады, ал қашықтағы тағайындалулар үнсіз LAN-ға қате бағытталады.
Қайта қосылып, пакет ретімен қайта тексеріңіз
Екі өзгерістің кез келгенінен кейін туннельді қайта қосыңыз және тесттерді пакет ретімен қайталаңыз: маршрутизатор, жергілікті хост, қашықтағы хост, содан кейін атаулар, содан кейін қолданба. Қолданбаны бірінші тексеру қай қабат әлі бұзылғанын жасырады, ал кэштегі атауға браузердің қайта әрекеті маршруттау ақауына ұқсауы мүмкін.
VPN профилінің қасына firmware нұсқасын, LAN префиксін және тексеру функциясының күйін жазыңыз. Үшеуі де келесі жаңарту үстінен жаза алатын конфигурация, ал екі жол жазба жаңа ғана өткізген сағатты үнемдейді.