Wake-on-LAN VPN аркылуу иштебейби? Трансляция эч качан өтпөйт

Кеңсе машинасын уйкуга саласыз, үйдөн VPN туташтырасыз, ал эми ал өчүк бойдон калат. Туннель көтөрүлгөн, файлдык бөлүшүүлөр жооп берет, маршрутизатордун wake-on-LAN баракчасы сурам жөнөтүлгөнүн билдирет. Ар бир көрүнүүчү белги тармактын иретинде экенин айтат, дал ушундан улам бул учур баш катырат: машинаны ойгото турган кадр ал турган сегментке эч качан жетпейт.

Симптомдор туннелге эмес, ички тармакка көрсөтөт

Уктап жаткан хостко ping өтпөйт, бул бөлүгү кадимки. Күтүү режиминдеги машинада иштеп жаткан IP стеги жок, ошондуктан ARP же ICMP ге жооп бере албайт, жана туннелдин эч бир конфигурациясы муну өзгөртпөйт. Пайдалуу текшерүү — ошол эле LANдагы экинчи машина ойгонообу жана маршрутизатордун өз ойготуу баракчасы ага туташкан хост үчүн иштейби.

Ошол эле сегменттеги текшерүү өткөндөн кийин, кемчилик камтууда. Сиз колдонгон жөнөтүүчү VPN интерфейсинде жашайт, ал эми ал кураган пакет жергиликтүү канал үчүн трансляция болуп саналат, ошондуктан туура эмес интерфейстен чыгат же такыр чыкпайт. Туннель бузулган эмес; ал трафиктин туура эмес түрүн ташыйт. Маршрутизатордун бир дагы параметрин өзгөртүүдөн мурун жөнөтүүчү кайсы интерфейсти тандаарын аныктаңыз.

Magic packet — кадр, кызмат эмес

Пайдалуу жүк алты 0xFF байтынан турган туруктуу аталыштан башталат, андан кийин максаттуу картанын аппараттык дареги он алты жолу кайталанат, андан кийин төрт байттык кошумча SecureOn сырсөзү келет. Жөнөтүүчүлөр муну адатта UDP ичинде 7 портко же 9 портко ороп коюшат, бирок порт номери — жөнөтүүчү менен картанын ортосундагы шарттуулук, угуучу жана туташууга боло турган кызмат эмес. Эч нерсе укпайт жана эч нерсе жооп бербейт.

Машинаны тармактык интерфейс ойготот, ал системанын калган бөлүгү өчүк кезде кичине схема бөлүгүн күтүү шинасынан кубаттап кармап турат. Ошондуктан параметр толук кубат жоготууну да, уйкуну да көтөрүшү керек: өчүрүү кезде күтүү кубатын кесип салган платада эми эч нерсе кабыл ала турган карта калбайт.

Маршрутталган туннель эмнеге аны жеткире албайт

Маршрутталган VPN интерфейси — эки туннель дарегинин ортосундагы чекиттен чекитке IP байланыш. Ал өнөктөшкө адрестелген пакеттерди ташуу үчүн бар, ошондуктан ping, SSH жана файлдык бөлүшүүлөр ал аркылуу кадимкидей иштейт. Трансляция кадры ошол өнөктөшкө адрестелген эмес, ал эми чектелген трансляция дареги маршрутизатор тарабынан эреже катары берилбейт.

Ички тармакка багытталган трансляцияны өткөрүү — маршрутизатордун атайын мүмкүнчүлүгү, аны көпчүлүк демейки конфигурациялар өчүрөт, жана ошондо да ал ошол ички тармакка жеткирилет, белгилүү бир уктап жаткан картага эмес. Уктап жаткан хост ARP ге да жооп бере албайт, ошондуктан өткөрүүдөн мурун максаттуу даректи чечүүгө аракет кылган маршрутизатор кадрды таштап, эч качан келбей турган жоопту күтөт. Статикалык байланыш жазуусу ошол бөлүктү оңдойт жана трансляциянын камтуу маселесин тийбей калтырат. Демек эки өзүнчө чектөө, жана бирөөнү жоюу экинчисине эч нерсе бербейт.

Картага чындап жеткен үч жайгашуу

Ар кандай иштөөчү схема кадрды максаттын сегментине коёт, жана алар тармакты канчалык тынчсыздандырары менен айырмаланат:

1. Максаттуу сегментке дайыма күйүп турган түзмөк коюңуз. Кубатта калган маршрутизатор, NAS же кичине Linux кутусу туннель аркылуу жеткенден кийин кадрды жергиликтүү жерде жөнөтө алат, ал эми VPN де эч нерсе өзгөрбөйт.
2. Маршрутизатор кадрды өзү жөнөтсүн. Көптөгөн прошивкалар LAN көпүрөсүнөн жөнөтө турган ойготуу баракчасын сунуштайт, бул максат ошол көпүрөдө турганда жана экинчи маршрутизатордун артында болбогондо иштейт.
3. Трансляциялар чын эле өтүшү керек болсо, жайларды TAP тибиндеги туннель менен көпүрө аркылуу туташтырыңыз. Бул эки трансляция доменин бириктирет, трансляция бороондорун, бирдиктүү дарек планын жана эки жайды бир убакта көргөн ар бир аныктоо протоколун алып келет.

Биринчи вариант — бир машина үчүн тандаш керек болгону. Үчүнчүсү — туруктуу чыгымы бар тармак дизайны тууралуу чечим, ошондуктан аны ошондой кабыл алыңыз, бир жумуш үстөлү үчүн тез оңдоо катары эмес.

Кайсы жардамчы кадрды жөнөтөрүн жана ал кайсы көпүрөдө же VLAN да турганын жазыңыз. Туура эмес интерфейстен жөнөткөн жардамчы кемчиликсиз жазуу менен эч качан ойгонбой турган машинаны берет, ал эми бул айкалыш түштөн кийинки убакытты алат.

Кардарды күнөөлөөдөн мурун жөнөтүүнү текшериңиз

Алгач максаттуу картаны текшериңиз, анткени эч бир жөнөтүүчү куралданбаган картаны ойгото албайт. Төмөнкү команда колдоого алынган жана учурдагы wake режимдерин окуйт, мында учурдагы g мааниси magic packet күйүп турганын билдирет:

ethtool enp3s0 | grep -A1 'Wake-on'
ip neigh show 192.168.1.50
tcpdump -ni br0 -e 'ether broadcast and udp dst port 9'
etherwake -i br0 3c:7c:3f:00:11:22

Жөнөтүү жүрүп жатканда жардамчыда жазууну иштетиңиз жана ийгиликке божомолдоонун ордуна аны окуңуз. Туура көпүрөдөн трансляциялык максаттуу MAC менен чыккан кадр — жөнөтүүнүн ийгиликтүү болгонунун жалгыз далили; эгер жазуу бош болсо, жөнөтүүчү башка интерфейсти тандаган жана тесттин калганы маанисиз. Чийки кадрды UDP датаграммасынын ордуна кураган жөнөтүүчү бул чыпкага туура келбейт, ошондуктан эч нерсе жөнөтүлгөн эмес деп жыйынтык чыгарбастан мурун куралыңыз кайсы форманы колдонорун текшериңиз.

Windows та картаны текшерүүнүн барабардыгы — powercfg /devicequery wake_armed, ал системаны ойготууга уруксат берилген түзмөктөрдү тизмелейт. Ошол тизмеде жок тармактык адаптер өзүнө жөнөтүлгөн ар бир пакетти этибарга албайт, кадр зымда канчалык туура көрүнсө да.

Андан кийин ойгонуунун өзүн жана уландысын ырастаңыз. Күйгүзүлгөн, бирок аты боюнча жеткиликсиз бойдон калган машинага статикалык дарек жана DNS жазуусу керек, анткени трансляция аркылуу аттарды чечүү туннелден дагы эле өтпөйт. Зымсыз ойготуу — зымдуу версиядан өзүнчө жана алда канча ишенимсиз мүмкүнчүлүк, ошондуктан VPN ди такыр туташтырбастан мурун аны ошол эле сегментте текшериңиз. Интерфейстин атын жана жардамчынын хост атын билетке жазыңыз, анткени кийинки кемчилик адатта ошол эки фактыга тиешелүү болот.