LAN-Hoste eng VPN-Réckroute mat DHCP-Optioun 121 ginn

Remote VPN-Clienten verbannen sech, de LAN-Server äntwert, an d'Äntwert verléisst iwwer den normale Internetrouter an stierft do. Ee Server kann ee mat enger statescher Route flécken, awer e ganzt Subnetz dovun ass besser do ze handhaben, wou se schonn hir Netzwierkkonfiguratioun kréien. DHCPv4-Optioun 121 verdeelt genee sou eng Destinatiounsroute, an dat ass den Deel, deen d'Leit normalerweis falsch maachen, soubal se den Standard vergiessen. D'Symptom ass een directionnelle Traffic: d'Ufroe komme an d'Äntwerten verschwannen.

Nennt fir d'éischt déi dräi Adressen

Huelt e konkrete LAN: 192.168.50.0/24 mat dem normale Standardrouter op 192.168.50.1 an engem separate VPN-Gateway op 192.168.50.2. Authentifizéiert Remote-Clienten huelen 10.90.0.0/24 an.

D'Route, déi all bedeelegten Host brauch, ass 10.90.0.0/24 via 192.168.50.2. D'Destinatioun ass de Clientpool, an den nächste Sprong ass d'LAN-Adress vum Gateway, net seng Tunneladress.

Kodéiert se als klasslos statesch Route

Optioun 121 dréit Pueren aus Prefix an nächstem Sprong, an RFC 3442 definéiert souwuel d'Kodéierung wéi och dat Clientverhalen, dat dodraus folgt. Fir eng existéierend dnsmasq-Instanz, déi just dëse illustrative LAN bedéngt, ass d'Form vun der Konfiguratioun:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Dat ass e Fragment, keen neien DHCP-Service. Op engem Server, dee verschidde Segmenter bedéngt, begrenzt d'Optioun mat den Tags oder der Netzwierkpolitik, déi Dir schonn benotzt. Haalt déi vireg Konfiguratioun zur Hand, well zréckzeklappen heescht nach eng Lease-Erneierung, keen Neistart.

Verléiert d'Standardroute net

Dat ass d'Falle. E Client, deen Optioun 121 kritt, muss déi gewéinlech Router-Optioun ignoréieren, also kann d'Ukënnegung just vun der VPN-Pool-Route dee Host ganz ouni Standardroute loossen. D'Maschinn gesäit nach ëmmer konfiguréiert aus a verléiert roueg den Internet. D'Benotzer beschreiwen dat als Netzwierk, dat erofgefall ass, wärend all Interface uewen ass.

Huelt de gewollten Standard an déiselwecht Lëscht, wéi et de Fragment uewe mécht. Haalt och déi gewéinlech Router-Optioun op der Plaz, fir Clienten, déi klasslos Route net ëmsetzen; dem Server seng eege Optiounsbehandlung entscheet, wat u wien geet.

Kuckt, wat de Client akzeptéiert

En Host mat enger manueller Adress hëlt dat ni op, well hien eng Lease net ufreet. D'Clientënnerstëtzung variéiert och, also test op deem Betribssystem, deen Dir tatsächlech lafe loosst, amplaz unzehuelen, all Apparat respektéiert Optioun 121. Confirméiert mat deenen, deenen déi Serveren gehéieren, wéi eng statesch adresséiert sinn. Déi Hoste brauchen hir eege Routebäiträg oder se huelen einfach net deel.

Verwalt DHCP-Servicer sinn eng aner Grenz. E puer Cloud-Netzwierker loossen Administrateuren net zoufälleg Optiounen publizéieren, an e konkurréierende DHCP-Server am selwechte Segment ass schlëmmer wéi keng Optioun iwwerhaapt.

Iwwerpréift d'Lease, duerno d'Lookup

Loosst den DHCP-Besëtzer d'Ännerung uwenden an erneiert duerno d'Lease op engem Client. Existéierend Leasen halen déi al Konfiguratioun, bis se erneiert ginn, also sinn direkt Resultater net garantéiert.

Liest op engem Linux-Client déi tatsächlech Routen a confirméiert béid Bäiträg:

ip -4 route
ip -4 route get 10.90.0.23

D'kontextuell Lookup sollt d'Pool-Route iwwer 192.168.50.2 an den Standard iwwer 192.168.50.1 weisen. Wann den Standard feelt, hutt Dir d'Falle uewe reproduzéiert.

Test duerno den echte Wiessel

Routeverdeelung ass net de ganzen Wee. De separate Gateway brauch nach Ëmleedung, Besëtz vun de Remote-Peers an eng Zougangspolitik, déi de Server erlaabt, an DHCP authentifizéiert keen.

Zum Schluss haalt e Plang fir ewechzehuelen. Eng geléiert statesch Route zitt sech net selwer zréck, wann d'VPN erofgeet, also kann en iwwerlaangen nächste Sprong dee Prefix laang nodeems den Tunnel fort ass, zu engem schwaarze Lach maachen.