VPN адаптері /32 көрсетеді: бұл бір ғана межелі орын дегенді білдірмейді

VPN адаптеріндегі 255.255.255.255 маскасы клиенттің өз мекенжайы, қолжетімді хосттардың шегі емес. Маршруттарды, қақпа көлемін және қайту жолын бөлек оқыңыз.

Адаптерлер 255.255.255.255 көрсетеді, көбіне VPN дәл бір мекенжайға жетеді деген қорытынды жасалады. Бұл оқылым клиенттің өз мекенжайын туннель арқылы маршрутталатын межелі орындар жиынымен шатастырады. Нүкте-нүкте немесе маршрутталған интерфейсте бұл екеуі бөлек нысандар, және қолжетімділікті солардың тек біреуі шектейді. Миф өмір сүреді, өйткені маска адамдар Ethernet-те үйренген ішкі желі маскасына ұқсайды.

Миф: хост маскасы бір ғана қолжетімді хост дегенді білдіреді

/32 тағайындауы интерфейске байланыстың осы ұшына қай мекенжай тиесілі екенін айтады, ал нүкте-нүкте байланыста бұл оның бүкіл мағынасы. Серіктес мекенжайы бөлек өріс, ал серіктестен әрі не бар екенін айтатын маршруттар тағы бөлек. Маскада ешнәрсе алыс желіні сипаттамайды, өйткені маска алыс желілер сипатталатын орын емес. Оны қолжетімділік шегі ретінде оқу өз үй нөміріңді бара алатын барлық мекенжайлардың тізімі ретінде оқумен бірдей.

Шатасудың шынайы тамыры бар: Ethernet-те хост маскасы сол сегментте шынымен бір ғана мекенжайды білдірер еді. Туннель Ethernet сегменті емес, және одан не өтетінін маска емес, клиенттің маршруттау кестесі шешеді. Сондықтан сол /32 біртұтас деректер орталығының алдында тұра алады.

Мекенжай мен маршруттарды бөлек нысандар ретінде оқыңыз

Интерфейс пен кестені бірге басып шығарыңыз, содан кейін оларды екі сұраққа екі жауап ретінде оқыңыз. Мекенжай бұл ұштың кім екенін жауаптайды; маршруттар трафиктің қайда бара алатынын жауаптайды. Үшінші сұрақ, қақпа қандай межелі орындарға рұқсат беретіні, клиентте мүлде көрінбейді. iproute2 мекенжай анықтамалығы жергілікті мекенжай, серіктес және префикс маршруты өрістерін дәл осы себептен бөлек сипаттайды.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows-та да мекенжайлар тізімі мен маршруттау кестесі арасында дәл сондай бөліну бар, ал іздеу командасы нақты межелі орын үшін қайсысы жеңетінін көрудің ең жылдам жолы. Егер іздеу туннель интерфейсін қайтарса, клиент пакетті сол жерге жібереді. Егер ол физикалық адаптерді қайтарса, клиент VPN-нен ешқашан сұрамайды, және сервер жағындағы ешбір рұқсат мұны өзгертпейді. Сізге шынымен қажет межелі орынды тексеріңіз, жалпы жалпыға ортақ мекенжайды емес.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Егер іздеу қате интерфейсті көрсетсе, тоқтаңыз. Бұл клиенттің маршруттау мәселесі, және ол клиентте түзетіледі.

Масканы кеңейту неге әдетте жағдайды нашарлатады

Тағайындауды /24-ке өзгерту, офис LAN-ына ұқсау үшін, байланыста префикс тудыруы мүмкін: ядро енді бүкіл /24 туннель интерфейсіне тікелей қосылған деп сенеді. Қақпа арқылы маршрутталуы тиіс мекенжайларға трафик содан кейін байланыста көрші бар сияқты жіберіледі. Нәтижесі сервер іркілісіне ұқсайтын қара қуыс.

Ол нақты мәселені де жасырады, яғни жоқ маршрутты немесе қақпада жоқ рұқсатты. Олардың ешқайсысын кеңірек маска жасамайды, және екеуі де өзгерістерден кейін қалады. Егер дизайн интерфейсте үлкенірек префиксті қажет етсе, бұл қолданылатын интерфейс моделінің шешімі, құжаттаманы қолға ұстап қабылданады. Масканы басқа өнімнің экран суреттерінен көшіру ол шешім емес.

Егер алыс префикс маршруты жоқ болса, оның қамтамасыз етілуін түзетіңіз. Егер ол бар болып, байланыс әлі де қабылданбаса, маска ешқашан диагноз болмаған.

Маршрут дұрыс болғанда, ал ағын әлі сәтсіз болғанда

Дұрыс маршрут клиенттің пакетті жіберетінін ғана дәлелдейді. Қақпа әлі де межелі орынды қабылдауы керек, тағайындалған мекенжай үшін қайту жолы болуы керек, және қызмет ағынға рұқсат беруі керек. Осы үшеуін бөлек тексеріңіз: клиенттегі іздеу, қақпаның рұқсат етілген көлемі және қажет бір серверге сұрау. Үшеуі де дайын болмай тұрып аутентификацияның сәтті болуы қалыпты, және сондықтан қосылған клиент еш жерге жете алмауы мүмкін.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Желілік нысандар мен топ рұқсаттарын құрылғы басқаратын қызметте иесімен бірге ұстаңыз. Клиентке қайда жету керектігі және оған нені пайдалануға рұқсат етілгені бөлек параметрлер, көбіне бөлек экрандарда. Біреуін өзгертіп, екіншісін тексеру — билеттің екі команда арасында секіру тәсілі.

Зейнетке шығарылуы тиіс миф — маска қолжетімділік шегі деп есептеу. Мекенжайды, маршруттарды және қақпа саясатын үш бөлек факт ретінде оқыңыз, сонда /32 шектеу сияқты көрінуді қояды да, кәдімгі туннель тағайындауы сияқты көріне бастайды.

Қатысты мақалалар