Маршрутталган OpenVPN туннелинде аттарды издөө эмнеге ийгиликсиз болот

Хост ping-ге дарек боюнча жооп берет, ал эми ат боюнча ар бир издөөдө ийгиликсиз болот. Туннель көтөрүлгөн жана маршрут бар, ошондуктан табигый жыйынтык — VPN туура эмес конфигурацияланган. Пайдалуураак жыйынтык: издөө эч качан маршрутталуучу болгон эмес, анткени маршрутталган туннель unicast IP ташыйт, ал эми суроо аркы тарапта жок сегментти издеген broadcast болчу. Катмарлардын дал келбестиги көрүнгөндөн кийин, чечимдер өздөрү наркы боюнча иреттелет.

Уламыш: аттар ийгиликсиз болгондуктан туннель бузулган

Симптом ишенимдүү, анткени ат катмарынан жогору бардыгы иштейт. Даректер маршрутталат, интерфейс көтөрүлгөн, шерик ping-ге жооп берет. Ийгиликсиз болгону — чекиттен чекитке байланыш аркылуу жолу болбогон аныктоо механизми, жана бул бузулган туннелден башка бекемдөө. Ушул эки бекемдөөнү ажыратуу диагностиканын көп бөлүгү.

Аны туннелдин бузулушу катары кароо жардам бере албаган профиль өзгөртүүлөргө алып келет. Опцияларды кошуу, шифрлоону өзгөртүү же кардарды кайра орнотуу broadcast-ты так ордунда калтырат.

Оңдоону атаардан мурун ийгиликсиз болгон механизмди атаңыз. Broadcast колдонгон издөөгө сегмент керек, ал эми резолвер колдонгон издөөгө сурай турган дарек керек.

TUN эмнени ташыйт жана эмнени ташыбайт

TUN түзмөгү — IP интерфейси, жана дал ушул аны маршрутталуучу кылат. OpenVPN кардарга дарек жана маршруттар топтомун берет, андан кийин кардар шерикке датаграммаларды жөнөтөт. Бул моделде ар бир хост ар бир кадрды уга турган жалпы байланышты эч нерсе жаратпайт.

Аныктоо трафиги бул моделге такыр батпайт. Windows-тун эски ат суроолору, SSDP жарыялоолору жана mDNS сурамдары бир максатка эмес, сегменттегилердин баарына жөнөтүлөт. Маршрутталган байланышта жөнөтө турган «баары» жок. Ушул механизмдердин ар бири жалпы чөйрөнү болжолдойт.

Ошондуктан туннель соо болушу мүмкүн, ал эми аныктоо толук ийгиликсиз болушу мүмкүн. Бирөө VPN өчүп калды деп билдиргенде, ушул сүйлөмдү кармануу керек.

Көпүрө чегараны алып салуу менен иштейт

TAP түзмөгү кадрларды ташыйт, ал эми көпүрө аны чыныгы LAN сегментине туташтырат. Ошондо кардар ошол сегментте дарекке ээ болуп, анын broadcast трафигин угат. Көпүрөнүн ат маселесин айыктыргандай көрүнүшүнүн себеби ушул. Ал ошондой эле кардарды даректөө үчүн ошол сегментке көз каранды кылат.

Дары — маршруттоо чегарасын алып салуу, туннелдин ичиндеги жаңы ат жөндөмү эмес. Сегмент broadcast кылгандын баары эми байланыштан да өтөт.

Кичинекей лаборатория үчүн бул акыйкат алмашуу. Таркалган жумушчу күч үчүн сейрек.

DNS жана WINS-ти түртүү — тарыраак оңдоо

Кардарга сурай турган так орун бериңиз. dhcp-option DNS жана dhcp-option DOMAIN ички аттарды зонаны билген серверге багыттайт, ал эми дагы эле NetBIOS-ко таянган Windows кардары ошол эле жол менен WINS серверин ала алат. Туннель маршрутталган бойдон калат, сегмент өз ордунда калат.

Эки шарт анын иштей турганын чечет. Аталган сервер зона үчүн жооп бериши керек, жана суроого туннель аркылуу уруксат болушу керек.

Резолверди сервердин өз кабыгынан эмес, кардардан текшериңиз. Жергиликтүү иштеген резолвер туннель эмнени ташыганы тууралуу эч нерсе айтпайт.

Кайсы катмар ийгиликсиз болгонун аныктаңыз

Алгач дарекке ping жасаңыз, анан атты чечип, кайсы сервер жооп бергенин окуңуз. Зонаны хостингдебеген сервердин терс жообу машинадан эч качан чыкпаган суроодон башкача көрүнөт. Чечилүүчү, бирок туташууларды четке каккан ат — такыр үчүнчү маселе.

Multicast ошол эле дубалдын артында. 224.0.0.251 сыяктуу топ демейде маршрутталган туннелден өткөрүлбөйт, жана топ үчүн маршрут multicast-ты түшүнгөн жолсуз же LAN-дагы чагылдыргычсыз жетишсиз.