Эмне үчүн толук туннелдүү VPN маршрутталган жергиликтүү VLAN-дарды жашырат

allow local network параметри маршрутизаторуңуздун артындагы VLAN-дар жөнүндө эч нерсе билбейт. Жергиликтүү шлюз аркылуу өткөн так маршрут сактоо жана лабораториялык ички тармактарды жеткиликтүү кылып турат.

VPN кардарындагы «allow local network» которгучу имараттагынын баарын камтыйт деп угулат. Иш жүзүндө ал адатта туннелдин демейки маршрутуна бир нече жеке даректүү даректердин эске тутуусун кошуп, ошол жерде токтойт. Сиздин сактоочу VLAN жеткиликтүү бойдон калат, эгер ошол так префикс үчүн маршрут туннелдин келишине туруштук берсе, жана көптөгөн кардарларда ал туруштук бербейт.

Бул VPN жөндөөсү эмес, маршруттоо маселеси, бул жакшы кабар: анын так жообу бар.

allow-local-network чындыгында эмнени камтыйт

Кардарлар бул параметрди ар башкача ишке ашырышат. Кээ бирлери машина туташкан ички тармак үчүн маршруттарды кошушат, кээ бирлери RFC 1918 диапазондорун кошушат, ал эми аз гана бөлүгү демейки шлюзду гана чыгарып салышат. Алардын эч бири сиздин кеңсе маршрутизаторуңуз сактоочу VLAN, лабораториялык сегмент же принтер ички тармагын да тейлейтүүсүн билишпейт, анткени бул префикстер кардар көргөн зымда жок. Белги сиздин топологияңызды сүрөттөйт деп болжолдоонун ордуна так жүрүм-турум үчүн кардардын өз документтерин окуңуз.

Айырмачылык толук туннелдик долбоордо эң маанилүү, мында кардар бардык трафик VPN аркылуу өтүшү үчүн демейки маршрутту атайылап алмаштырат. Бул долбоордун бүткүл мааниси, жана дал ушул жергиликтүү маршрутталган тармактарды жоготуп жиберет. Аларды эч качан өз маршруту камтыган эмес; алар дал жаңы алмаштырылган демейки маршрутта жүрүшкөн. Кардар өзүнүн бар экендигин билбеген нерсени маршруттай албайт, жана ал өзүнүн интерфейсине тиркелген префикстерди гана үйрөнөт. Калгандарын топологияны билген адам сүрөттөшү керек.

Туташкан маршруттар биринчи маршрутизатордо токтойт

192.168.10.20/24 дарегиндеги, шлюзу 192.168.10.1 болгон жумушчу станция 192.168.10.0/24 үчүн туташкан маршрутту автоматтык түрдө алат. 192.168.20.0/24 дарегиндеги сактоочу VLAN башка префикс, ага так ошол шлюз аркылуу гана жетүүгө болот, жана жумушчу станцияда ага демейкиден башка маршрут жок. Туннел көтөрүлгөнгө чейин кадимки демейки маршрут сактоо трафигин кокустан 192.168.10.1ге жөнөтөт жана баары иштейт.

VPN толук туннелдин демейки маршрутун орноткондо, 192.168.20.1 үчүн пакеттер жаңы демейкиге ээрчип туннелдин ичине кирет. Алыскы шлюздун бул префикс кайда жашаары тууралуу эч түшүнүгү жок, ошондуктан ал аларды таштайт же пайдасыз жерге өткөрүп жиберет. Сактоочу VLANда эч нерсе туура эмес конфигурацияланган эмес; анын жолу карызга алынган болчу, жана карыз кайтарылып алынды.

Азгыруу — /1 маршрут жупун же экинчи демейки сыяктуу кең эске тутууга умтулуу. Ага каршы туруңуз. Эске тутуу канчалык тар болсо, тармак өзгөргөндө аны түшүндүрүү, текшерүү жана жоюу ошончолук оңой.

Эске тутууну жеңүүчү таблицага салыңыз

Бир маршруттоо таблицасынын ичинде /24 эң узун префикс дал келүүсү боюнча /0 же /1ди жеңет, ошондуктан жергиликтүү шлюз аркылуу сактоочу VLANга так маршрут жетиштүү, эгер таблицага таптакыр кайрылса. Linuxта адаттагы форма кыска:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Саясат негизиндеги маршруттоо бул кепилдикти татаалдаштырат. Эртерек эреже трафикти өзүнүн демейки маршруту туннелге багытталган таблицага жөнөтүшү мүмкүн, ошондо сиздин /24 бар негизги таблицага эч качан жетпейт. Маршрутту бийликтуу деп эсептөөдөн мурун эрежелерди текшериңиз, анткени туура эмес таблицадагы туура көрүнгөн жазуу бузулган маршрутка окшош катаны түшүндүрөт.

Андан кийин жазууну кардар колдогон механизм же интерфейске ээлик кылган тармак менеджери аркылуу туруктуу кылыңыз. Буйрук сабында терилген маршрут кийинки кайра туташууда жоголот, ал эми бир Wi-Fi шлюзуна байланган маршрут ноутбук барган кийинки тармакка өткөрүлбөйт.

Аталыштар жана саясат маршруттарга ээрчибейт

Маршрутту оңдоо пакеттерди кайтарат, аталыштарды эмес. Эгер жергиликтүү түзмөктөр алар жөнүндө эч нерсе билбеген таңууланган чечүүчү аркылуу чечилсе, дарек жеткиликтүү болсо да туташтыруу дагы эле ишке ашпайт. Жергиликтүү аталыштарга жергиликтүү же бөлүнгөн DNS тартиби керек, жана бул маршрут эске тутуусунан өзүнчө чечим.

Саясат дагы өзүнчө. VPN кардарынын жергиликтүү кирүү фильтри жеке диапазондорго трафикти атайылап тыюу салышы мүмкүн, жана маршрут бул эрежени жокко чыгарбайт. Ишенимсиз тармакта жеке дарек да максат сиздин сактоочу сервериңиз экендигинин далили эмес, ошондуктан эске тутуу маршруттун өзүндөй так болушу керек.

Тапшырса боло турган келишим

Бүткөн долбоор кыска тизме катары окулушу керек: жалпы интернет трафиги туннелге ээрчийт, жана бул аталган жергиликтүү префикстер жергиликтүү маршрутизатор аркылуу өз жолун сактайт. Префикстерди, кийинки кадамды жана алар менен бирге жүргөн DNS уландысын жазып коюңуз, жана тизмени бирөө маршруттоо таблицасын окубай эле текшере ала тургандай кыска кармаңыз.

Жергиликтүү жана алыскы диапазондордун кабатташуусуна көңүл буруңуз. VPNдын артындагы бир нерсе менен префиксти бөлүшкөн сактоочу VLAN кыйла так маршрутка чечилет, жана анын натыйжасындагы жүрүм-турум үзгүлтүктүү көрүнгөнү менен баш аламандык жаратат. Бир тарапты кайра номерлөө адатта белгисиздикти түбөлүк оңдоодон арзаныраак.

Келишимди эки жолу текшериңиз: бир жолу туннел көтөрүлгөндө жана бир жолу ал түшүрүлгөндө. Эгер жергиликтүү жол ошол абалдардын биринде гана иштесе, эске тутуу азырынча келишим эмес.

Тектеш макалалар