VPN адаптери /32 көрсөтөт: бул бир гана багыт дегенди билдирбейт

VPN адаптериндеги 255.255.255.255 маскасы кардардын өз дареги, жетүүгө боло турган хосттордун чеги эмес. Маршруттарды, дарбазанын көлөмүн жана кайтуу жолун өзүнчө окуңуз.

Адаптерлер 255.255.255.255 көрсөтөт, көп учурда VPN так бир дарекке жетет деген тыянак чыгарылат. Бул окуу кардардын өз дарегин туннелден маршрутталган багыттардын жыйындысы менен аралаштырат. Чекит-чекит же маршрутталган интерфейсте бул экөө өзүнчө объектилер, жана жетүү мүмкүнчүлүгүн алардын бири гана чектейт. Миф жашайт, анткени маска адамдар Ethernet-те үйрөнгөн ички тармак маскасына окшош.

Миф: хост маскасы бир гана жетүүгө боло турган хостту билдирет

/32 дайындоо интерфейске байланыштын ушул учуна кайсы дарек таандык экенин айтат, ал эми чекит-чекит байланышта бул анын бүт мааниси. Өнөктөштүн дареги өзүнчө талаа, ал эми өнөктөштөн ары эмне бар экенин айткан маршруттар дагы өзүнчө. Маскада эч нерсе алыскы тармакты сүрөттөбөйт, анткени маска алыскы тармактар сүрөттөлгөн жер эмес. Аны жетүү чеги катары окуу өз үйүңдүн номерин бара алган бардык даректердин тизмеси катары окууга окшош.

Чаташуунун чыныгы тамыры бар: Ethernet-те хост маскасы чын эле ошол сегменттеги бир гана даректи билдирер эле. Туннель Ethernet сегменти эмес, жана андан эмне өтөрүн маска эмес, кардардын маршруттоо таблицасы чечет. Ошондуктан ошол эле /32 бүтүндөй маалымат борборунун алдында тура алат.

Даректи жана маршруттарды өзүнчө объектилер катары окуңуз

Интерфейс менен таблицаны чогуу басып чыгарыңыз, анан аларды эки суроого эки жооп катары окуңуз. Дарек бул учтун ким экенин жооп берет; маршруттар трафиктин кайда бара аларын жооп берет. Үчүнчү суроо, дарбаза кайсы багыттарга уруксат берет, кардарда такыр көрүнбөйт. iproute2 даректер боюнча колдонмосу жергиликтүү дарек, өнөктөш жана префикс маршруту талааларын так ушул себептен өзүнчө сүрөттөйт.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows-то да даректер тизмеси менен маршруттоо таблицасынын ортосунда ушундай эле бөлүнүү бар, ал эми издөө буйругу белгилүү багыт үчүн кайсынысы жеңерин көрүүнүн эң тез жолу. Эгер издөө туннель интерфейсин кайтарса, кардар пакетти ошол жакка жөнөтөт. Эгер ал физикалык адаптерди кайтарса, кардар VPNден эч качан сурабайт, жана сервер тараптагы эч бир уруксат муну өзгөртпөйт. Сизге чындап керектүү багытты текшериңиз, жалпы коомдук даректи эмес.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Эгер издөө туура эмес интерфейсти көрсөтсө, токтоңуз. Бул кардардын маршруттоо маселеси, жана ал кардарда оңдолот.

Масканы кеңейтүү эмне үчүн адатта абалды начарлатат

Дайындоону /24кө өзгөртүү, кеңсе LANына окшош болушу үчүн, байланышта префикс жаратышы мүмкүн: өзөк эми бүт /24 туннель интерфейсине түз туташкан деп ишенет. Дарбаза аркылуу маршрутталышы керек болгон даректердин трафиги ошондо байланышта кошуна бардай жөнөтүлөт. Жыйынтык сервердин бузулушуна окшош кара көңдөй.

Ал чыныгы маселени да жашырат, башкача айтканда жок маршрутту же дарбазадагы жок уруксатты. Алардын эч бирин кененирээк маска жаратпайт, жана экөө тең өзгөрүүдөн кийин калат. Эгер долбоор интерфейсте чоңураак префиксти талап кылса, бул колдонулган интерфейс моделинин чечими, документтерди колго алып кабыл алынат. Масканы башка продукттун экран сүрөттөрүнөн көчүрүү ал чечим эмес.

Эгер алыскы префикс маршруту жок болсо, анын камсыздалышын оңдоңуз. Эгер ал бар болуп, байланыш дагы эле четке кагылса, маска эч качан диагноз болгон эмес.

Маршрут туура болгондо, ал эми агым дагы эле ишке ашпаганда

Туура маршрут кардардын пакетти жөнөтөрүн гана далилдейт. Дарбаза дагы эле багытты кабыл алышы керек, дайындалган дарек үчүн кайтуу жолу болушу керек, жана кызмат агымга уруксат бериши керек. Ушул үчөөнү өзүнчө текшериңиз: кардардагы издөө, дарбазанын уруксат берилген көлөмү жана керектүү бир серверге суроо. Үчөө тең даяр боло электе аутентификациянын ийгиликтүү болушу кадимки көрүнүш, жана ошондуктан туташкан кардар эч жакка жете албашы мүмкүн.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Тармак объектилерин жана топ уруксаттарын түзмөк башкарган кызматта ээси менен бирге кармаңыз. Кардарга кайда жетүү керектиги жана ага эмнени колдонууга уруксат берилгени өзүнчө жөндөөлөр, көбүнчө өзүнчө экрандарда. Бирин өзгөртүп, экинчисин текшерүү — билеттин эки команданын ортосунда секирүү жолу.

Пенсияга чыгарылышы керек болгон миф — маска жетүү чеги деп эсептөө. Даректи, маршруттарды жана дарбаза саясатын үч өзүнчө факт катары окуңуз, ошондо /32 чектөө сыяктуу көрүнүүнү токтотуп, кадимки туннель дайындоосу сыяктуу көрүнө баштайт.

Тектеш макалалар