Firwat e VPN mat voller Tunnel Är geroutet lokal VLANen verstoppt

De Schalter „allow local network“ an engem VPN-Client kléngt, wéi wann en alles am Gebai deckt. An der Praxis setzt en normalerweis e puer Ausnamen fir privat Adressen op d'Standardroute vum Tunnel derbäi an hält do op. Ären Speicher-VLAN bleift nëmmen erreechbar, wann eng Route fir dee spezifesche Prefix d'Ukommes vum Tunnel iwwerlieft, an a ville Clienten mécht se dat net.

Dat ass eng Fro vum Routing an net eng VPN-Astellung, wat eng gutt Noriicht ass: et gëtt eng konkret Äntwert.

Wat allow-local-network tatsächlech deckt

D'Clienten implementéieren déi Optioun ënnerschiddlech. E puer addéieren Routen fir de Subnetz, u deem d'Maschinn hänkt, anerer addéieren d'RFC 1918-Bereicher, an e puer schléissen nëmmen de Standard-Gateway aus. Keen vun hinne weess, datt Äre Büro-Router och e Speicher-VLAN, en Lab-Segment oder e Printer-Subnetz servéiert, well déi Prefixen net op der Leitung sinn, déi de Client gesäit. Liest d'Dokumentatioun vum Client selwer fir dat genee Verhalen, amplaz unzehuelen, datt d'Etikett Är Topologie beschreift.

Den Ënnerscheed ass am wichtegsten an engem Design mat voller Tunnel, wou de Client bewosst d'Standardroute ersetzt, sou datt all Traffic duerch de VPN geet. Dat ass den ganzen Zweck vum Design, an et ass och dat, wat déi lokal geroutet Netzwierker verschwannen léisst. Si waren ni duerch eng eegen Route gedeckt; si sinn op der Standardroute gefuer, déi just ersat gouf. E Client kann net route wat en net weess, datt et existéiert, an en léiert nëmmen d'Prefixen, déi u seng eege Schnëttstelle gebonnen sinn. Alles anescht muss vun engem beschriwwe ginn, deen d'Topologie kennt.

Verbannen Route stoppen um éischte Router

Eng Aarbechtsstatioun op 192.168.10.20/24 mam Gateway 192.168.10.1 kritt automatesch eng verbannen Route fir 192.168.10.0/24. De Speicher-VLAN op 192.168.20.0/24 ass en anere Prefix, nëmmen iwwer dee Gateway erreechbar, an d'Aarbechtsstatioun huet keng Route dofir iwwer de Standard eraus. Ier den Tunnel eropkënnt, schéckt déi gewéinlech Standardroute de Speichertraffic zoufälleg op 192.168.10.1 an alles funktionéiert.

Wann de VPN eng Standardroute mat voller Tunnel installéiert, follege Paketen op 192.168.20.1 der neier Standardroute an den Tunnel. Den entfernten Gateway huet keng Ahnung, wou dee Prefix wunnt, also verwërft en se oder leet se op eng nëtzlos Plaz weider. Um Speicher-VLAN war näischt falsch konfiguréiert; säi Wee war geléint, an d'Auslee gouf zréckgefrot.

D'Versuchung ass, no enger breeder Ausnam ze gräifen, wéi engem /1-Routepaar oder enger zweeter Standardroute. Widderstitt dat. Je méi schmuel d'Ausnam ass, desto méi einfach ass se z'erklären, z'auditéieren an ze läschen, wann d'Netzwierk sech ännert.

Setzt d'Ausnam an den Table, dee gewënnt

Bannent engem Routing-Table gewënnt eng /24 géint eng /0 oder eng /1 duerch déi längst Prefix-Übereestimmung, also ass eng genee Route zum Speicher-VLAN iwwer de lokalen Gateway genuch, wann den Table iwwerhaapt consultéiert gëtt. Op Linux ass déi gewéinlech Form kuerz:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Policy-Routing komplizéiert déi Garantie. Eng fréier Regel kann den Traffic an en Table schécken, deen seng eegen Standardroute an den Tunnel weist, an den Haapttable mat Ärer /24 gëtt dann ni erreecht. Kontrolléiert d'Reegelen, ier Dir unhëlt, datt d'Route autoritativ ass, well en korrekt ausgesinne Posten am falschen Table e Feeler erkläert, deen wéi eng gebrachen Route ausgesäit.

Maacht den Posten da permanent iwwer de Mechanismus, deen de Client ënnerstëtzt, oder iwwer den Netzwierkmanager, deen d'Schnëttstell huet. Eng Route, déi am Prompt getippt gëtt, verschwënnt bei der nächster Reconnectioun, an eng Route, déi un een eenzegen Wi-Fi-Gateway gebonnen ass, ass net op dat nächst Netzwierk iwwerdrobar, deen de Laptop besicht.

Nimm a Politike folgen de Route net

D'Route flécken restauréiert Paketen, net Nimm. Wann lokal Apparater iwwer en opgedrängte Resolver opgeléist ginn, deen näischt iwwer se weess, schléit d'Montage weider fehl, och wann d'Adress erreechbar ass. Lokal Nimm brauchen eng lokal oder opgedeelt DNS-Reegel, an dat ass eng Entscheedung getrennt vun der Route-Ausnam.

D'Politik ass nees getrennt. Den Filter fir lokalen Zougang vun engem VPN-Client kann den Traffic a privat Beräicher bewosst verbidden, an eng Route setzt déi Regel net aus. An engem net vertrauenswürdege Netzwierk ass eng privat Adress och kee Beweis, datt d'Zil Äre Speicherserver ass, also sollt d'Ausnam esou spezifesch sinn wéi d'Route selwer.

E Kontrakt, deen Dir kënnt iwwerginn

Dat fäerdeg Design sollt sech wéi eng kuerz Lëscht liesen: allgemengen Internettraffic follegt dem Tunnel, an dës genannte lokal Prefixen halen hire Wee iwwer de lokale Router. Schreift d'Prefixen, den nächsten Hop an de DNS-Suffix op, dee matgeet, a hält d'Lëscht kuerz genuch, datt een se iwwerpréiwe kann, ouni en Routing-Table ze liesen.

Passt op Iwwerschneidung tëschent lokalen an entfernte Beräicher op. E Speicher-VLAN, deen e Prefix mat eppes hannert dem VPN deelt, gëtt op déi Route opgeléist, déi méi spezifesch ass, an dat resultéierend Verhalen ass verwirrend op eng Manéier, déi intermitéierend schéngt. Eng Säit nei ze nummeréieren ass meeschtens méi bëlleg wéi d'Ambiguitéit fir ëmmer ze debuggen.

Testt de Kontrakt zweemol: eng Kéier mam Tunnel erop an eng Kéier mat him erof. Wann de lokale Wee nëmmen an engem vun deenen Zouständ funktionéiert, ass d'Ausnam nach kee Kontrakt.