VPN дареги жана LAN DHCP ижарасы: туннелдин IP-син ким берет?

VPN кардарыңыз LAN ижара файлында эч качан көрүнбөгөн даректи көрсөтөт. Чыныгы бөлүштүрүүчүнү табуу үчүн кардарды, IKEv2 жүктөмүн жана шлюздун пулун окуңуз.

Кардарды туташтырып, Wi-Fi белгисинин ордуна адаптерди караңыз. 10.80.0.14 сыяктуу дарек туннелде болушу мүмкүн, бирок кеңсе LAN-ындагы эч бир DHCP сервери ал ижараны эч качан жазып алган эмес. Номерди кайсы процесс тандаганы көйгөйдү изилдөөнүн кайдан башталарын аныктайт.

Кардарда баары бирдей көрүнөт: бир IPv4 дареги, бир маска, кээде демейки шлюз. Айырма ал дарек үчүн ким жооп берерин жана анын жазуусун ким сактайрын сураганда гана көрүнөт.

Туннелдин дарегин кардар тараптан окуу

Биринчи сапты эмес, бүт блокту окусаңыз Windows айырманы көрсөтөт. ipconfig /all адаптердин сүрөттөмөсүн, физикалык даректи жана DHCP сабын басып чыгарат. PPP же IKEv2 терүү адаптери адатта DHCP өчүк деп билдирет, анткени байланыш дарегин LAN серверинен ижарага алуунун ордуна терүү учурунда келишкен. DHCP күйгүзүлгөн туннель адаптери сейрек кездешет жана өзүнчө изилдөөгө татыктуу.

Linux ошол эле маалыматты эки куралга бөлөт. ip -4 addr show dev tun0 даректи жана префикс узундугун берет. nmcli -f IP4 connection show work маани байланыш профилинен, звенодогу DHCP алмашуусунан же түртүлгөн конфигурациядан келгенин ачат. WireGuard эң ачык учур, анткени wg-quick интерфейс пайда болгондо конфигурация файлындагы Address сабын колдонуп, туташуу учурунда эч бир өнөктөш эч нерсе бөлбөйт.

Префикс да бир нерсе айтат. /32 же 255.255.255.255 маскасы шлюз бир хост дарегине маршруттоону күтөөрүн билдирет, ал эми кененирээк маска туннелдин артындагы бир жерде звенодогу ички тармактын белгиси.

IKEv2 конфигурация жүктөмү эмнени алып жүрөт

IKEv2 бул иш үчүн өзүнчө механизмге ээ. RFC 7296, 3.15.1 бөлүмүндө сүрөттөлгөн конфигурация жүктөмү INTERNAL_IP4_ADDRESS, INTERNAL_IP4_NETMASK, INTERNAL_IP4_DNS сыяктуу атрибуттарды жана алардын IPv6 баламаларын алып жүрөт. Кардар тандоосу жок болгондо узундугу нөл болгон маани менен атрибут жөнөтөт, ал эми жооп берүүчү колдонууну каалаган маанини кайтарат. Бул алмашуу IKE_AUTH ичинде, буга чейин шифрленген түрдө жүрөт, ошондуктан эч бир DHCP билдирүүсү туннелден өтпөйт.

Эки натыйжа келип чыгат. Биринчиден, даректи жооп берүүчү же ал кеңешкен каалаган уруксат берүү тутуму тандайт, ошондуктан пул шлюзде, RADIUS жообунда же инсандык провайдердин картасында болушу мүмкүн. Экинчиден, DNS атрибуту дарек атрибутунан өзүнчө. 10.80.0.14 алуу кайсы чечүүчү кайтканын же такыр кайтканын айтпайт.

Тармак маскасынын атрибуту иш жүзүндө милдеттүү эмес. Көптөгөн жайгаштыруулар гана даректи кайтарып, кардарга хост маршрутун орнотууга жол берет, ошондуктан ошол эле пул бир кардарда /32, экинчисинде /24 болуп көрүнүшү мүмкүн.

LAN ижара диапазону жана VPN пулу кагылышкан жер

Көйгөй эки бөлүштүрүүчү тең эле диапазонду көрсөткөндө башталат. 10.20.30.0/24 үчүн DHCP сервери 10.20.30.128/25 үчүн конфигурацияланган VPN пулу жөнүндө эч нерсе билбейт, ошондуктан шлюз ошол эле даректи алыскы кардарга берип жатканда анын 10.20.30.140 дарегин принтерге ижарага берүүсүнө эч нерсе тоскоол болбойт. Кагылышуу күндөр бою унчукпай турат, анан мезгил-мезгили менен кайталанган көчүрмө катары бет ачат.

Маршрутталган сайттан сайтка долбоор кагылышуудан өз түзүлүшү менен качат. Филиалдагы хост жергиликтүү DHCP сервери берген даректи сактайт. Эки шлюздун туннель интерфейстери өз звенолук даректерин алып жүрөт, ал эми маршруттоо таблицасы пакеттердин кантип жүрөрүн чечет. Алыскы кирүү кардарларынын даректери үчүнчү категория болуп саналат жана аларды шлюздун звенолук даректери менен аралаштырууга болбойт.

Туннелди LAN-га көпүрөлөө ошол бөлүнүүнү жок кылат. Эгер долбоорго чындап эле бир билдирүү домени керек болсо, VPN аяккы чекити өзү дарек чыгарбай, реле же жалпы ыйгарым укуктуу булак аркылуу DHCP сервери сыяктуу эле бөлүштүрүү чечимдерине катышуусу керек.

Дарек кайсы процесске таандык экенин текшерүү

Диапазонду өзгөртүүдөн мурун ээликти далилдеңиз. Кардарда даректи жана префиксти жазып алыңыз. LAN-да ижара маалымат базасынан издеңиз. Шлюзде ал бөлүштүрүүгө конфигурацияланган пулдарды тизмелеңиз. Ижара файлынан табылган дарек DHCP серверине таандык, башкача айтканда туннель көпүрөлөнгөн же реле аркылуу берилген; гана шлюздун пулунан табылган дарек туннелдин аяккы чекитине таандык.

# client: address and prefix on the tunnel interface
ip -4 addr show dev tun0

# LAN DHCP server: is this address leased to anyone?
grep -c '10.80.0.14' /var/lib/dhcp/dhcpd.leases

# gateway: pools that remote-access clients draw from
sudo swanctl --list-pools

Жооп айкын болгондо төрт нерсени жазыңыз: кайсы компонент кардар дарегин бөлүштүрөт, ага кайсы диапазон корулган, кайтарылуучу трафик ал диапазонго кантип жетет жана кайсы ресурстар аны кабыл алат. Бул төрт жазуу виртуалдык адаптердин сабын операциялык фактыга айландырат.

Ошол жерде турганда DNS атрибуту үчүн текшерүүнү кайталаңыз. Даректерди берип, бирок чечүүчүсүн бербеген пул кардарды өзүнүн жергиликтүү DNS-инде калтырат, бул LAN мурун эле колдонуп жаткан даректи берген пулдан башка алсыздык.

Тектеш макалалар