Mac L2TP opgedeelte Route: firwat eng Hostadress net funktionéiert

D'VPN verbënnt, d'Menüleescht weist et, an en internen Host leeft nach ëmmer an en Timeout. An deem Fall gëtt et dräi méiglech Ursaachen, a wéi eng zoutrëfft hänkt dovun of, wéi den Tunnel konfiguréiert gouf. Entweder huet de Routebefehl eng Hostadress benotzt, wou eng Netzwierkadress néideg war, oder d'Profil selwer installéiert eng Standardroute, déi d'Decisioun schléckt, oder de Client ass en PPP-Tunnel, deen en Haken amplaz vun engem Profilschlëssel brauch. Kontrolléiert se an dëser Rei, well déi éischt am bëllegsten auszeschléissen ass.

D'Destinatioun ass eng Netzwierkadress, d'Mask beschreift de Prefix

networksetup -setadditionalroutes hëlt Triplette vun Destinatioun, Subnetzmaske a Gateway. Den Opruff, deen een internen Subnetz duerch den Tunnel schéckt, gesäit esou aus:

sudo networksetup -setadditionalroutes "VPN (L2TP)" 192.168.1.0 255.255.255.0 10.2.0.0

Passt op, wat d'Destinatioun ass: d'Netzwierkadress, net d'Adress vum Server, deen Dir erreeche wëllt. An deem Fall, deen dësen Artikel ervirbruecht huet, huet dee selwechte Befehl mat 192.168.1.20 op där Plaz näischt Nëtzlech gemaach, an d'Ersetze duerch 192.168.1.0 huet direkt funktionéiert. Déi selwecht Mask, dee selwechte Gateway, eng aner Zuel. Dat ass de ganze Feeler am Klenge.

De Grond ass Arithmetik, net Politik. Eng Hostadress mat enger /24-Mask beschreift net 192.168.1.0/24; si beschreift eppes, wat d'Routentabelle net nëtzlech ka halen, dofir gëtt den Andrag verworf oder ignoréiert an den Tunnel dréit um Enn manner wéi Dir geduecht hat.

Wann Dir genau een Host wëllt, benotzt d'Hostadress mat enger Mask vun 255.255.255.255. Gemëschte Päre sinn d'Plaz, wou dat schief geet, net d'Benotze vun enger Hostadress als esou. Eng /32 aus enger Adress ass eng legitim Route; eng /24 aus enger Adress ass e Feeler.

Den Opruff ersetzt d'Lëscht, an den Numm ass wuertwiertlech

Zwee Verhalen iwwerrasche Leit beim éischten Versuch. De Befehl setzt déi komplett Lëscht vun zousätzleche Route statt ze appendéieren, dofir hëlt en Opruff, deen ee Prefix bäisetzt, déi aner, déi virdru do waren, stëll eraus. Baut de ganze Saz an engem eenzegen Opruff.

Den Numm vum Service ass och net d'Etikett, déi Dir erfonnt hutt. Liest en aus dem Tool a kopéiert en exakt, inklusiv dem Typ-Suffix:

networksetup -listallnetworkservices

En Numm, deen sech ëm ee Zeechen ënnerscheet, gëtt keng Feeler, déi et wäert ass ze liesen, an och keng Route. Kopéieren an Asetzen ass hei déi richteg Technik, net aus dem Gediechtnes nei ze tippen.

Wann d'Profil d'Standardroute behaapt

Opgedeelte Route verléieren géint eng Standardroute fir all Destinatioun, déi se net ausdrécklech decken, an eng L2TP-Profil, déi fir en ganze Tunnel konfiguréiert ass, installéiert genau dat. Wa d'Profil seet, alles géing duerch den Tunnel, ännert d'Lëscht vun zousätzleche Route ganz wéineg. Ären Andrag ass net falsch; en ass einfach irrelewant fir d'Destinatiounen, déi en ni nennt. D'Kontroll doriwwer sëtzt meeschtens an der Astellung vum Profil fir all Verkéier ze schécken, net an engem Routebefehl.

Entscheet, wéi ee Modell Dir wierklech wëllt, ier Dir méi Andräg ännert. En ganze Tunnel mat Ausnamen ass eng aner Konfiguratioun wéi en opgedeelten Tunnel mat bestëmmte Prefixen, a béides ze mëschen ergëtt eng Tabelle, déi keen viraussoe kann.

Wann d'Organisatioun en ganze Tunnel verlaangt, stoppt et lokal ze probéieren opzedeelen an bréngt d'Ufuerderung bei deen, deen d'Politik huet. Eng lokal bäigefüügt Route, déi där widdersprécht, gëtt sowieso beim nächsten Profil-Update ewechgeholl.

PPP-Tunnelen brauchen en Haken amplaz vun engem Schlëssel

Fir PPP-baséiert Tunnelen ass defaultroute de Profilschlëssel, deen eng Standardroute erstellt; hëlt en ewech, an de Client behaapt net méi all Destinatioun. Duerno ginn d'Route bäigefüügt, nodeems d'Interface erschéngt, typesch aus /etc/ppp/ip-up:

#!/bin/sh
/sbin/route add -net 192.168.1.0 -interface ppp0

Halt d'Skript am Besëtz vum root a lafbar, a füügt eng Gard op den Interface-Numm bäi, wann et méi wéi ee Tunnelprofil op der Maschinn gëtt. En Haken, dee fir all PPP-Link leeft an een Apparatnam unhëlt, ass e klengen Feeler mat engem laange Liewen.

Verifizéiert d'Opdeelung mat dräi Ufroen

Hëlt d'Tabelle, wärend Dir verbonne sidd, a notéiert, wéi eng Interface den Tunnel servéiert. Kontrolléiert duerno déi spezifesch Destinatioun, amplaz dem Exitstatus vum Befehl ze vertrauen, deen se ugeluecht huet. En Exitcode mëttelt, ob den Tool d'Argumenter akzeptéiert huet, net ob de Verkéier de geduechte Wee hëlt.

Schléisst mat dräi Ufroen of, déi d'Opdeelung beweisen: een internen Host iwwer d'Adress, een internen Numm iwwer de internen Resolver an eng ëffentlech Säit, déi nach ëmmer déi lokal Verbindung benotze sollt. Wann déi ëffentlech Säit elo och duerch den Tunnel geet, ass d'Opdeelung ni geschitt, wat d'Routelëscht och ëmmer schéngt ze soen.

Verbind nach eng Kéier a widderhuel d'intern Ufro, well Route, déi vun Hand bäigefüügt ginn, kënnen d'Interface iwwerliewe, déi se gëlteg gemaach huet a stëll de Verkéier an e schwaarzt Lach ëmwandelen, nodeems den Tunnel fält.