Suteikite LAN hostams VPN grįžimo maršrutą naudodami DHCP 121 parinktį

Nuotoliniai VPN klientai jungiasi, LAN serveris atsako, o atsakymas išeina per įprastą interneto maršrutizatorių ir ten miršta. Vieną serverį galima pataisyti statiniu maršrutu, bet visą jų potinklį geriau tvarkyti ten, kur jie jau gauna savo tinklo konfigūraciją. DHCPv4 121 parinktis platina būtent tokį paskirties maršrutą, ir tai yra ta dalis, kurią žmonės paprastai padaro ne taip, kai tik pamiršta numatytąjį. Simptomas yra vienkryptis srautas: užklausos ateina, o atsakymai dingsta.

Pirmiausia įvardykite tris adresus

Paimkite konkretų LAN: 192.168.50.0/24 su įprastu numatytuoju maršrutizatoriumi 192.168.50.1 ir atskiru VPN tinklų sietuvu 192.168.50.2. Autentifikuoti nuotoliniai klientai užima 10.90.0.0/24.

Maršrutas, kurio reikia kiekvienam dalyvaujančiam hostui, yra 10.90.0.0/24 via 192.168.50.2. Paskirtis yra klientų telkinys, o kitas šuolis yra sietuvo LAN adresas, o ne jo tunelio adresas.

Užkoduokite jį kaip beklasį statinį maršrutą

121 parinktis neša prefikso ir kito šuolio poras, o RFC 3442 apibrėžia ir kodavimą, ir iš to kylantį kliento elgesį. Esamam dnsmasq egzemplioriui, aptarnaujančiam tik šį iliustracinį LAN, konfigūracijos forma yra tokia:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Tai fragmentas, o ne nauja DHCP paslauga. Serveryje, aptarnaujančiame kelis segmentus, apribokite parinktį žymomis ar tinklo politika, kurią jau naudojate. Laikykite ankstesnę konfigūraciją po ranka, nes grąžinimas reiškia dar vieną nuomos atnaujinimą, o ne perkrovimą.

Nepraraskite numatytojo maršruto

Čia ir yra spąstai. Klientas, gavęs 121 parinktį, privalo nepaisyti įprastos Router parinkties, todėl skelbiant vien tik VPN telkinio maršrutą galima palikti tą hostą visiškai be numatytojo maršruto. Mašina vis dar atrodo sukonfigūruota ir tyliai praranda internetą. Naudotojai tai apibūdina kaip kritusį tinklą, nors visi sąsajos veikia.

Įtraukite numatytąjį į tą patį sąrašą, kaip daro aukščiau pateiktas fragmentas. Palikite ir įprastą Router parinktį klientams, kurie neįgyvendina beklasių maršrutų; serverio pačio parinkčių apdorojimas nusprendžia, kas kam siunčiama.

Patikrinkite, ką klientas priims

Hostas su rankiniu adresu to niekada neperima, nes neprašo nuomos. Klientų palaikymas taip pat skiriasi, todėl bandykite toje operacinėje sistemoje, kurią iš tikrųjų naudojate, o ne manykite, kad kiekvienas įrenginys gerbia 121 parinktį. Patvirtinkite su tų serverių savininkais, kurie yra su statiniu adresu. Tiems hostams reikia savų maršruto įrašų, kitaip jie tiesiog nedalyvaus.

Valdomos DHCP paslaugos yra kita riba. Kai kurie debesų tinklai neleidžia administratoriams skelbti savavališkų parinkčių, o konkuruojantis DHCP serveris tame pačiame segmente yra blogiau nei jokios parinkties.

Patikrinkite nuomą, tada paiešką

Paprašykite DHCP savininko pritaikyti pakeitimą, tada atnaujinkite nuomą kliente. Esamos nuomos išlaiko seną konfigūraciją, kol nebus atnaujintos, todėl momentiniai rezultatai negarantuoti.

Linux kliente perskaitykite tikruosius maršrutus ir patvirtinkite abu įrašus:

ip -4 route
ip -4 route get 10.90.0.23

Kontekstinė paieška turėtų rodyti telkinio maršrutą per 192.168.50.2 ir numatytąjį per 192.168.50.1. Jei numatytojo nėra, atkūrėte aukščiau aprašytus spąstus.

Tada išbandykite tikrąjį mainą

Maršrutų paskirstymas nėra visas kelias. Atskiram sietuvui vis dar reikia persiuntimo, nuotolinių partnerių nuosavybės ir prieigos politikos, leidžiančios serverį, o DHCP nieko neautentifikuoja.

Galiausiai turėkite pašalinimo planą. Išmoktas statinis maršrutas pats neatsitraukia, kai VPN krinta, todėl pasenęs kitas šuolis gali paversti tą prefiksą juoda skyle dar ilgai po to, kai tunelio nebėra.