VPN кардар режиминдеги маршрутизатор: LAN түзмөктөрү эмнеге жоголот
Маршрутизатор VPN кардар режимине өткөндөн кийин LAN түзмөктөрү жоголот: адегенде жөнөтүү жолундагы текшерүү функциясын, андан кийин firmware өзгөрткөн LAN диапазонун текшериңиз.
Кардар режиминин өзү LAN кирүүсүн өлтүрөт деген ишеним адамдарды туура эмес жөндөөлөр менюсуна жиберет, ал эми чыныгы себептер адатта эки. Туннель LAN көпүрөсүн алып салбайт жана зымдуу менен зымсыз кардарлардын бири-бирине жетишине тоскоол болбойт. Жергиликтүү кирүүнү маршрутизатордун жөнөтүү жолундагы текшерүү функциясы же firmware өзгөргөндө жылган LAN дарек диапазону бузат. Экөө тең бирдей нааразычылык жаратат, жана эч бири VPN профилин кайра орнотуу менен оңдолбойт.
Миф жана кардар режими чындыгында эмнени өзгөртөт
Кардар режими туннель интерфейсин жана андан өткөн демейки маршрутту кошот, анан LAN трафигин ошол туннелге жөнөтөт. Зымдуу порттор менен зымсыз радиолордун ортосундагы көпүрө өзгөрүүсүз калат, жергиликтүү коммутация да. Өзгөргөнү — саясат: кайсы трафик жөнөтүлөт, кайда которулат жана кардарлар кайсы чечүүчүнү алышат.
Бул айырма маанилүү, анткени бузулган LAN адатта ошол үч саясаттын бири өзгөргөнүн билдирет, маршрутизатор коммутатор болууну токтотконун эмес. Өзүнүн администрациялык бетине дагы жооп берген маршрутизатор LAN интерфейсинин тирүү экенинин далили. Эч нерсеге жооп бербеген маршрутизатордун башка маселеси бар, мисалы өзгөргөн LAN дареги же туура эмес кошумча тармактагы кардар.
Ошондуктан пайдалуу биринчи кадам — кайсы катмар бузулганын табуу, шектенген катмарды өзгөртүү эмес.
Жөндөөгө тийишпестен мурун үч объектини текшериңиз
Зымдуу кардардан үч объектини өзүнчө текшерип, ар бир жыйынтыкты жазыңыз: маршрутизатордун өз LAN дареги, ошол коммутатордогу башка түзмөк IP боюнча, жана туннель аркылуу гана жетүүгө боло турган нерсе. Аларды ушул тартипте аткарыңыз, анткени ар бир жыйынтык башка катмарды жокко чыгарат. Биринчи айланууда аттардын ордуна даректерди колдонуңуз, анткени аттын ийгиликсиздиги DNSти туташуу маселесине аралаштырат.
Жооптордун үлгүсү — диагностика. Жергиликтүү түзмөктөр жооп бербесе да маршрутизатор жооп берсе, бул маршруттоого эмес, жергиликтүү коммутацияга же чыпкалоо функциясына көрсөтөт. Туннелдик тарап жооп бербесе да жергиликтүү түзмөктөр жооп берсе, бул туннель маршрутуна же алыскы firewallга көрсөтөт. Баары дарек боюнча жооп берип, аттар ийгиликсиз болсо, бул чечүүчү маселеси, жана маршрутту оңдоо аны оңдобойт.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Таблицаны тест жыйынтыктарынын жанында кармаңыз. Ал бүдөмүк нааразычылыкты аракет кылууга боло турган бир сапка айландырат.
Жөнөтүү жолунун ичиндеги коопсуздук катмары
Керектөөчү маршрутизаторлордо жөнөтүлүп жаткан трафикти көзөмөлдөгөн текшерүү функциясы көбүрөөк кездешет, жана ал LANдан туннелге пакеттерди ташыган ошол эле жолдо иштейт. Ошол текшерүү туннель трафигин классификациялай албаса, туннель өзү иштеп турса да жана маршрутизатор соо туташуу тууралуу билдирсе да, жөнөтүү токтоп калышы мүмкүн. VPN журналында бул көрүнбөйт, анткени VPN чындыгында туташкан.
Диагностика — көзөмөлдөнгөн эксперимент, туруктуу өзгөртүү эмес. Учурдагы жөндөөнү жазыңыз, функцияны бир тест узактыгына өчүрүңүз, туннелди кайра көтөрүңүз жана бир жергиликтүү хостту дарек боюнча текшериңиз. Кайра келген жөнөтүү — сизге керек далил, ошондон кийин компромисс божомолдун ордуна чечим болот. Эч нерсе өзгөрбөсө, аны дароо кайра күйгүзүп, дарек себебине өтүңүз.
Туннель ишин улантуу үчүн акы төлөнүүчү коопсуздук функциясын өчүк калтыруу — атайын жасала турган жана жазыла турган компромисс. Туннель башка түзмөктө болушу керекпи деп суроо да пайдалуу, анткени баарын текшерүүгө тийиш маршрутизатор менен баарын жөнөтүүгө тийиш маршрутизатор эки башка иш.
Экинчи себеп: LAN диапазону жылды
Firmware жаңыртуулары LAN дарегин өндүрүүчүнүн демейки маанисине үзгүлтүксүз кайтарат, ал эми кээ бир маршрутизаторлордо LAN жеке диапазонду сактайбы же жогорку түзмөктөн мураска алабы деп чечкен ачык режим которгучу бар. 192.168.8.x күткөн кардар 10.64.0.x ге түшүп калышы мүмкүн, ошондо туннель толук соо болсо да хостко SSH сессиясынын убактысы бүтөт.
ipconfig /all
ip addr show
ip route get 192.168.8.20Маршрутизатор бети ачылганга чейин префикс менен шлюзди ижарадан окуңуз. Биринчи эки буйрук кардар чындыгында эмне алганын көрсөтөт, үчүнчүсү кардар жергиликтүү дарек үчүн кайсы интерфейсти колдонорун көрсөтөт, калган маршрут же эскирген кошумча тармак ушетип ачылат. Андан кийин аны LAN бети жана маршрутизатор турган режим менен салыштырыңыз.
Диапазон кайта албаса, аны атаган ар бир объектини жаңыртыңыз: DHCP резервдери, эски кошумча тармакка ар кандай статикалык маршрут жана мурунку префиксти алып жүргөн ар бир firewall эрежеси. Туннелдин алыскы кошумча тармагы менен кагылышкан диапазон начар вариант, анткени жергиликтүү түзмөктөр жеткиликтүү бойдон калат, ал эми алыскы багыттар үнсүз түрдө LANга туура эмес багытталат.
Кайра туташып, пакет тартиби менен кайра текшериңиз
Эки өзгөртүүнүн кайсынысынан кийин болбосун туннелди кайра туташтырыңыз жана тесттерди пакет тартиби менен кайталаңыз: маршрутизатор, жергиликтүү хост, алыскы хост, андан кийин аттар, андан кийин колдонмо. Колдонмону биринчи текшерүү кайсы катмар дагы эле бузулганын жашырат, ал эми кэштеги атка браузердин кайра аракети маршруттоо бузулушуна окшош болушу мүмкүн.
VPN профилинин жанына firmware версиясын, LAN префиксин жана текшерүү функциясынын абалын жазыңыз. Үчөө тең кийинки жаңыртуу үстүнөн жаза ала турган конфигурация, ал эми эки сап жазуу жаңы эле өткөргөн саатты үнөмдөйт.