VPN ге туташкандан кийин жергиликтүү IP дарегинин кагылышуусун оңдоо

Бул отчёттордун ар бири бирдей угулат жана башка маанини билдирет: ноутбук дарек кагылышуусу тууралуу даттанат, бирок кээде гана, жана көбүнчө VPN күйүп турганда. Бул билдирүүнү үч башка бузуктук чыгарат: өз байланышыңыздагы чыныгы көчүрмө, алыскы тармак сиздин LAN диапазонуңузду колдонгон жана эч нерсе кайталанбаган капталуу, жана бир даректи эки өнөктөшкө берген туннель. Оңдоо ар бир учурда башка, ал эми туура эмес симптомду жок кылуунун ордуна ордун которот. Ошондуктан бир нерсени оңдоодон мурун кайсы учур экенин аныктаңыз.

Бир ката билдирүүсү бар үч бузуктук

Көчүрмө дегенибиз бир сегменттеги эки машина бир даректи талап кылат. Ядро муну байкайт, анткени өз зондуна жооп башка MAC'тен келет, ал эми андан ары эмне болорун стекке байланыштуу: Linux аны журналга жазат, Windows интерфейсти өчүрүп, тутумдук журналга жазуу кошот, DHCP кардары сунушту четке кагышы мүмкүн.

Капталуу эч бир даректи кайталабайт. Сиздин LAN 192.168.1.0/24, кеңсе тармагы да 192.168.1.0/24, эми кеңсеге барган маршрут принтериңиз жана NAS'ыңыз да болгон даректерди көрсөтөт. ARP маанисинде эч нерсе кагылышууда эмес; пакет эки тармактын биринде туура эмес түзмөккө кетет.

Бассейндеги кагылышуу — туннелдин өз катасы. Эки өнөктөш бир туннель дареги менен конфигурацияланган же аны алган, ошондуктан сервер кайтарылган трафикти жибергенде аларды ажырата албайт. Эки кардардын бири иштеген кол алышууну көрүп, маалымат көрбөйт, бул маршруттоо маселесине окшош жана андай эмес.

1-текшерүү: көчүрмө өз сегментиңиздеби?

Машинаңызда чындыгында эмне бар экенин тизмелөөдөн баштаңыз, эмнени конфигурациялаганыңызды эстегениңизди эмес. VPN адаптеринин дареги туннель үчүн жеке жана веб-сайттар көргөн дарекке барабар эмес, ошондуктан жалпы жарыя чыгуу кагылышуу эмес.

ip -br addr
ip neigh
ip route show table all | grep -E 'wg|tun|ppp'

Windows'то ошол эле маалымат ipconfig /all жана Get-NetIPAddress аркылуу келет, коңшулар кэши arp -a ичинде. Эгер талаштуу дарек физикалык адаптерде болсо жана даттануу VPN иштебей туруп пайда болсо, VPN — байкоочу, аны диагностикалоону токтоткон жөн.

Көчүрмөнү божомолдоонун ордуна далилдөө үчүн даректи ага ээ эмес түзмөктөн текшериңиз. arping -D зондду нөлдүк баштапкы дарек менен жиберет, ошондуктан күтүлбөгөн MAC'тен келген жооп башка хост бул дарекке мурунтан эле жооп берип жатканын далилдейт.

sudo arping -D -I eth0 -c 3 192.168.1.50

Андан кийин өзүңүз башка дарек тандоонун ордуна тармак администратору аркылуу ээсин табыңыз. Бирөөнүн жазууларында гана жашаган статикалык дайындоолор, туруктуу даректуу принтерлер жана DHCP сервериндеги резервдөөлөр адаттагы күнөөлүүлөр, ал эми өчүрүлгөн түзмөк өз ижарасын дагы эле кармайт.

2-текшерүү: эки тармак капталышабы?

Туннель берген префиксти өз интерфейстериңиздеги префикстер менен салыштырыңыз. Эгер алыскы диапазон LAN'га барабар болсо же аны камтыса, бузуктук — капталуу, ал эми белгиси: VPN'сиз жеткиликтүү хост жоголот же өз принтериңиз кеңсе дарегине жооп берет.

ip route get 192.168.1.10
ip -br addr show

Маршрутту издөө ядро кайсы интерфейсти колдонорун айтат, жана ошол жооп — бүткүл диагностика. Эгер жергиликтүү принтериңизге таандык дарек үчүн туннель десе, капталууңуз бар жана эч бир ижара жаңыртуу аны өзгөртпөйт.

Чыгуунун үч ак ниети бар, адатта бирөө гана жеткиликтүү. Алыскы тарап капталган ички тармактын трафигин маскараддай алат, ошондуктан кардарыңыз сервердин туннель дарегин гана көрөт. Туннель LAN'га кагылышпаган тар алыскы префиксти алып жүрө алат. Же кардар саясат эрежелери менен баштапкы дарек боюнча маршруттай алат, бул иштейт, бирок назик жана кесиптешке берүү кыйын.

Кеңсе тармагын кайра номерлөө сейрек сиздин чечимиңиз. Кагылышуудан кутулуу үчүн өз LAN'ыңызды кайра номерлөө принтерлер, камералар жана статикалык хосттор кошулганда көпчүлүк күткөндөн чоңураак өзгөрүү.

3-текшерүү: туннель бир даректи эки жолу бердиби?

WireGuard'да дарек бассейни жок. Ар бир өнөктөш өзүнүн ачык ачкычы жана AllowedIPs ичиндеги префикстер менен аныкталат, ошондуктан бир туннель дареги эки өнөктөш жазуусуна жазылса же бир ачкыч жуп эки машинага орнотулса, көчүрмө пайда болот.

wg show all allowed-ips
wg show wg0 latest-handshakes
wg show wg0 transfer

Трафик эсептегичтери бул жерде пайдалуу тилке: жакынкы кол алышууну көрсөтүп, өткөрүп берүүнү көрсөтпөгөн өнөктөш же туура эмес даректелген, же ошол эле префиксти талап кылган башка жазуунун көлөкөсүндө. Префиксти так бир өнөктөшкө коюңуз жана ар бир түзмөккө өз ачкыч жубуңузду бериңиз.

OpenVPN бассейни бар, жана көп кездешүүчү кагылышуу — экинчи машинага көчүрүлгөн туруктуу --ifconfig сабы бар жалпы кардар профили. Ошондо эки кардар тең бир туннель дарегин сурашат, ал эми сервер биринчи иштеп чыккан сессияны кабыл алат. --duplicate-cn менен бассейндин бүтүшү бир сертификаттын бир нече сессиясы бир жазуу үчүн атаандашканда окшош натыйжа берет.

Бул үчүн кардар журналынын ордуна сервер журналын окуңуз. Сервер кайсы сессия кайсы даректи алганын билет, ал эми ал жердеги кайталанган даректер кардарга эч качан жетпеген эскертүүлөр катары көрүнөт.

Булакта оңдоп, анан эки түзмөктү кайра текшериңиз

Тартип маанилүү. Адегенде LAN көчүрмөсүн оңдоңуз, анткени даректи кармай албаган кардар туннелди да кармай албайт. Андан кийин VPN тарабындагы камсыздоону оңдоңуз, анткени бассейн дайындоосуна кардар тарабынан киргизилген өзгөртүү кийинки туташууда жокко чыгарылат. Акырында кайталанган инсандыктар менен алектениңиз: WireGuard'да өзүнчө ачкыч жуптары, OpenVPN'де өзүнчө сертификаттар же жок дегенде өзүнчө профилдер.

Кардарда механикалык бөлүгү кыска. DHCP ижарасын бошотуп, жаңыртыңыз же резервдөө үчүн даректи серверде өзгөртүүнү сураңыз. Бош көрүнгөн кокустук даректи термеңиз.

sudo dhclient -r eth0 && sudo dhclient eth0
ipconfig /release && ipconfig /renew

Андан кийин бир тараптан эмес, эки тараптан текшериңиз. Шлюзди, анан чындыгында керек кызматты ырастаңыз, анан кайра туташып, кайталаңыз. Эки түзмөк катышса, экөөнү тең текшериңиз: бир даректи жылдыруу экинчисинде эскирген коңшу жазууларын же кийинчерээк кайра пайда болгон эски ижараны калтырат.

Жолдо эмне кылбоо керек

Симптомду унчукпай койбоңуз. Кайталанган даректерди аныктоо пайдаланылып жаткан даректи алууга жол бербейт, ал эми аны өчүрүү көрүнгөн кагылышууну көзөмөлдөө кыйын болгон үзгүлтүктүү пакет жоготуусуна айландырат. Күтүлбөгөн хосттон келген сертификат эскертүүсүн кабыл алууга да ошондой: бул такыр дарек маселеси эмес, андан өтүп кетүү башка бузуктукту жашырат.

Башкарылуучу тармактын даректөөсүн да өзүңүз өзгөртпөңүз. Баштапкы параметрди жазып алыңыз, дарек борборлоштурулуп берилсе, ээсинен сураңыз, жана өзгөртүүнү кайтарууга боло тургандай кичине кармаңыз. RFC 5227 дарек кагылышуусун аныктоо эрежелери туура зонд эмнени далилдей турганын түшүндүрөт, муну кагылышууну чыныгы деп атаардан мурун билген жөн.