VPN-Adapter weist /32: dat heescht net nëmmen eng Destinatioun

Adaptere weisen 255.255.255.255, an dacks ass d’Schlussfolgerung, datt de VPN genee eng Adress erreecht. Dës Liesweis verwiesselt d’Adress vum Client selwer mam Set vun den Destinatiounen, déi duerch den Tunnel gerout ginn. Op enger Punkt-zu-Punkt- oder gerouteter Interface sinn déi zwee verschidden Objeten, an nëmmen een dovun begrenzt d’Erreechbarkeet. De Mythos iwwerlieft, well d’Mask wéi d’Subnetz-Mask ausgesäit, déi d’Leit um Ethernet geléiert hunn.

De Mythos: eng Hostmask heescht een eenzege erreechbaren Host

Eng /32-Zouweisung seet der Interface, wéi eng Adress zu dësem Enn vun der Verbindung gehéiert, an op enger Punkt-zu-Punkt-Verbindung ass dat alles, wat se bedeit. D’Adress vum Partner ass en eegene Feld, an d’Routen, déi soen, wat hannert dem Partner läit, sinn erëm getrennt. Näischt an der Mask beschreift dat wäit ewech Netzwierk, well d’Mask net dee Plaz ass, wou wäit ewech Netzwierker beschriwwe ginn. Se als Erreechbarkeetsgrenz ze liesen ass wéi seng eege Hausnummer als Lëscht vun allen Adressen ze liesen, déi een däerf besichen.

D’Verwiesslung huet eng reell Wuerzel: um Ethernet géif eng Hostmask wierklech eng eenzeg Adress op deem Segment bedeiten. En Tunnel ass keen Ethernet-Segment, an wat duerch en geet, entscheet d’Routingtabell vum Client, net d’Mask. Dofir kann déiselwecht /32 virun engem ganze Rechenzentrum stoen.

Liest d’Adress an d’Routen als getrennt Objeten

Dréckt d’Interface an d’Tabell zesummen aus, a liest se duerno als zwou Äntwerten op zwou Froen. D’Adress äntwert, wien dëst Enn ass; d’Routen äntweren, wou den Trafik däerf higoen. Eng drëtt Fro, wéi eng Destinatiounen de Gateway erlaabt, ass um Client guer net ze gesinn. D’Adressreferenz vun iproute2 beschreift d’Felder fir lokal Adress, Partner a Präfixroute getrennt just dofir.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Ënner Windows gëtt et déiselwecht Trennung tëschent der Adresslëscht an der Routingtabell, an den Ufro-Befehl ass de séierste Wee fir ze gesinn, wéi eng fir eng bestëmmt Destinatioun gewënnt. Wann d’Ufro d’Tunnelinterface zréckgëtt, schéckt de Client de Pak dohinner. Wann se den physeschen Adapter zréckgëtt, freet de Client ni de VPN, an eng Berechtegung op der Serversäit ännert dat net. Préift d’Destinatioun, déi Dir wierklech braucht, net eng allgemeng ëffentlech Adress.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Stoppt, wann d’Ufro op déi falsch Interface weist. Dat ass e Routingproblem vum Client, an et gëtt um Client behuewen.

Firwat eng méi breet Mask et meeschtens méi schlëmm mécht

D’Zouweisung op eng /24 z’änneren, fir wéi de Büro-LAN auszegesinn, kann e Präfix op der Verbindung schafen: de Kernel gleeft elo, datt de ganzen /24 direkt un d’Tunnelinterface ugeschloss ass. Den Trafik fir Adressen, déi duerch de Gateway gerout missten, gëtt dann geschéckt, wéi wann en Noper op der Verbindung wier. D’Resultat ass e schwaarzt Lach, dat wéi e Serverausfall ausgesäit.

Et verstoppt och de richtege Problem, nämlech eng Rout déi feelt oder eng Berechtegung déi um Gateway feelt. Keen vun deenen zwee gëtt vun enger méi breeder Mask geschaf, an déi zwee iwwerliewen d’Ännerung. Wann den Design e méi grousst Präfix op der Interface brauch, ass dat eng Entscheidung fir de benotzten Interface-Modell, geholl mat der Dokumentatioun an der Hand. Eng Mask aus Screenshots vun engem anere Produkt ze kopéieren ass déi Entscheidung net.

Wann d’Rout vum wäite Präfix feelt, verbessert seng Bereetstellung. Wann se do ass an d’Verbindung nach ëmmer ofgeleent gëtt, war d’Mask ni d’Diagnos.

Wann d’Rout richteg ass an de Floss nach ëmmer scheitert

Eng richteg Rout beweist nëmmen, datt de Client de Pak schécke wäert. De Gateway muss nach d’Destinatioun akzeptéieren, de Retourwee muss fir déi zougewisen Adress existéieren, an de Service muss de Floss erlaben. Test dës dräi getrennt: d’Ufro um Client, de berechtegte Beräich vum Gateway an eng Ufro un ee néidege Server. Datt d’Authentifikatioun geléngt, ier all dräi do sinn, ass normal, an dofir kann en ugeschlossene Client nach ëmmer näischt erreechen.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Halt Netzwierkobjeten a Gruppsberechtegungen bei hirem Besëtzer op engem Service, dee vun engem Apparat geréiert gëtt. Wat dem Client gesot gëtt z’erreechen a wat hien däerf ze benotzen sinn verschidden Astellungen, dacks op verschiddenen Écranen. Dat engt änneren an dat anert testen ass wéi en Ticket tëschent zwou Équipen héich an niddreg spréngt.

De Mythos, deen an d’Pensioun gehéiert, ass datt d’Mask eng Erreechbarkeetsgrenz ass. Liest d’Adress, d’Routen an d’Gateway-Politik als dräi getrennt Fakten, an eng /32 gesäit net méi wéi eng Aschränkung aus a fänkt un, wéi eng normal Tunnelzouweisung auszegesinn.