Déi L2TP-Adress ass IPCP, net en DHCP-Lease am LAN

D’Verbindung kënnt erop an den Adapter weist eng Adress aus dem Beräich vum Büro, also ass déi natierlech Conclusioun, datt d’VPN Iech eng LAN-Adress ginn huet an Iech domat op de LAN gesat huet. Keng vun den zwou Hälfte ass ganz richteg. L2TP dréit eng PPP-Sessioun, an PPP verhandelt déi intern IPv4-Adress mam IPCP. Déi Adress ass e Sessiounsparameter, deen tëscht zwou Säiten ofgemaach gëtt, keen Lease, deen den DHCP-Server vum Büro erausgëtt, an se ze hunn mécht Iech net zum Noper um Bürodraht.

Zwou Adressen an enger Verbindung

Et ginn zwou onofhängeg Verhandlungen an enger L2TP-Verbindung. Déi baussenzeg baut en geschützte Wee tëscht Ärem Apparat an dem VPN-Endpunkt iwwer dat Netzwierk op, dat Dir schonn hutt. Déi bannenzeg ass d’PPP-Sessioun, an do ginn Är Sessiounsadress an d’Adress vun der anerer Säit ofgemaach. Internetverkéier kann ënner enger drëtter Adress komplett erausgoen, der ëffentlecher Adress vum Endpunkt, dofir stëmmen eng VPN-Kontrollsäit an d’Adress vum Adapter selten iwwereen.

Déi dräi Rollen ausernee ze halen äntwert op déi meescht Froen, déi d’Leit op dës Schicht bréngen. Eng privat Nummer um VPN-Interface ass normal an erwaart. Si seet näischt doriwwer, ob den Endpunkt Ären ëffentlechen Ausgang geännert huet, an entscheet net vun sech aus, wéi eng Destinatiounen Äre Verkéier erreecht.

Wat IPCP genee mécht

IPCP ass de IPv4-Kontrollprotokoll fir PPP. All Säit schéckt Configure-Request-Noriichten, déi d’Optiounen beschreiwen, déi se wëll, an d’Adressoptioun ass eng dovun. E Client ouni Adress freet normalerweis mat 0.0.0.0, an de Server äntwert mat engem Configure-Nak, deen d’Adress dréit, déi hie wëll, datt de Client se benotzt. Duerno freet de Client déi Adress, an d’Sessioun kënnt mat enger lokaler an enger entfernter Adress erop.

Dee Wiessel ass an den PPP- an IPCP-Spezifikatiounen dokumentéiert, an hie erkläert en Detail, deen no engem Feeler ausgesäit: d’Adress gëtt vum Server no senger eegener Politik gewielt, déi e Pool, eng Astellung pro Benotzer oder eng Adress kënnt sinn, déi un déi authentifizéiert Identitéit gebonnen ass. Wann de Pool erschöpft ass, oder d’Politik mat der Ufro a Konflikt geréit, kann d’Authentifikatioun geléngen, während d’Adressverhandlung feelt, an de Client mellt eng Verbindung, déi ni zur Rou kënnt.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Eng Zeil am pppd-Log, déi eng lokal an eng entfernt Adress nennt, ass dat erfollegräicht Enn vun där Verhandlung. Hiert Feelen, nieft enger erfollegräicher Authentifikatioun, weist op d’Adressestadium an net op d’Zugangsdaten.

Firwat de LAN Iech net äntwere kann

Eng Adress aus dem Beräich vun der ferner Säit mécht d’Erwaardung, datt d’Hosts op deem LAN Iech erreeche kënnen, an dat kënnen se meeschtens net, ausser de Server leet Är Sessiounsadress zréck an den Tunnel. An engem Pool ze sinn ass eng Ausso iwwer d’Zoudeelung, net iwwer d’Topologie. Den Dateiserver vum Büro huet keng Route zu Ärer Sessiounsadress, ausser de VPN-Server leet se weider, an et ass vläicht net emol erlaabt, och wann hien et mécht.

Dofir verursaachen iwwerlappend Beräicher Probleemer, déi ausser Verhältnis zu hirer schéinbarer Gréisst stinn. Wann de Pool en LAN iwwerlappt, deen de Client schonn benotzt, huet dem Client seng Routingtabell elo zwou Fuerderungen op deeselwechte Präfix, an déi falsch gewënnt dacks aus Grënn, déi näischt mam Tunnel ze dinn hunn.

Kontrolléiert d’Sessioun, duerno d’Route

Kontrolléiert d’éischt den Interface, duerno d’Routen, duerno eng Destinatioun, déi zielt. All Etapp huet hire eigenen Ausfallmodus, an all dräi op eemol ze testen ergëtt eng Conclusioun, déi Dir spéider net verdeedege kënnt.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Wann d’ëffentlech Kontroll d’Adress vum Endpunkt weist, während eng privat Destinatioun an den Timeout leeft, dréit den Tunnel Är Standardroute an d’fern Säit äntwert net fir déi Destinatioun. Wann déi privat Destinatioun äntwert, awer d’ëffentlech Kontroll sech net ännert, benotzt de Profil Split-Tunneling a just en Deel vum Verkéier benotzt d’Sessioun.

Halt déi dräi Etappen ausernee

Authentifikatioun, Adressverhandlung a Weiderleedung feelen ënnerschiddlech, an all huet en aneren Eegentemer. D’Zugangsdaten si en Identitéitsproblem, d’Erschöpfe vum IPCP ass e Serverpolitikproblem, an eng feelend Réckroute ass e Netzwierkdesignproblem. All dräi als „d’VPN ass futti“ ze mellen garantéiert eng lues Korrektur.

Notéiert déi zougedeelte Adress, de Pool, vun deem se koum, an ob de LAN se erreeche soll. Déi eng Notiz verhënnert, datt déi nächst Persoun en DHCP-Lease unhëlt an engem Beräich sicht, deen ni bedeelegt war.