Kodėl viso tunelio VPN paslepia jūsų maršrutizuotus vietinius VLAN

Parinktis „allow local network“ VPN kliente skamba taip, lyg apimtų viską pastate. Praktiškai ji paprastai prideda kelias privačių adresų išimtis prie numatytojo tunelio maršruto ir ten sustoja. Jūsų saugyklos VLAN lieka pasiekiamas tik jei to konkretaus prefikso maršrutas išgyvena tunelio atėjimą, o daugelyje klientų jis neišgyvena.

Tai maršrutizavimo, o ne VPN nustatymo klausimas, ir tai gera žinia: jis turi konkretų atsakymą.

Ką allow-local-network iš tikrųjų apima

Klientai tą parinktį įgyvendina skirtingai. Vieni prideda maršrutus potinkliui, prie kurio prijungtas kompiuteris, kiti prideda RFC 1918 diapazonus, o keli tik išskiria numatytąjį šliuzą. Nė vienas jų nežino, kad jūsų biuro maršrutizatorius taip pat aptarnauja saugyklos VLAN, laboratorijos segmentą ar spausdintuvų potinklį, nes tų prefiksų nėra laide, kurį klientas mato. Skaitykite paties kliento dokumentaciją apie tikslią elgseną, o ne manykite, kad etiketė apibūdina jūsų topologiją.

Skirtumas svarbiausias viso tunelio projekte, kur klientas sąmoningai pakeičia numatytąjį maršrutą, kad visas srautas eitų per VPN. Tai yra visa projekto esmė, ir būtent tai priverčia vietinius maršrutizuotus tinklus išnykti. Jie niekada nebuvo uždengti savo maršrutu; jie važiavo ką tik pakeistu numatytuoju maršrutu. Klientas negali maršrutizuoti to, apie ką nežino, kad egzistuoja, ir jis sužino tik apie prefiksus, prijungtus prie jo paties sąsajos. Viską kitą turi aprašyti kas nors, kas pažįsta topologiją.

Prijungti maršrutai sustoja prie pirmojo maršrutizatoriaus

Darbo stotis adresu 192.168.10.20/24 su šliuzu 192.168.10.1 automatiškai gauna prijungtą maršrutą 192.168.10.0/24. Saugyklos VLAN adresu 192.168.20.0/24 yra kitas prefiksas, pasiekiamas tik per tą šliuzą, o darbo stotis neturi jam maršruto, išskyrus numatytąjį. Prieš pakylant tuneliui, įprastas numatytasis maršrutas atsitiktinai siunčia saugyklos srautą į 192.168.10.1 ir viskas veikia.

Kai VPN įdiegia viso tunelio numatytąjį maršrutą, paketai į 192.168.20.1 seka naujuoju numatytuoju į tunelį. Nuotolinis šliuzas neturi supratimo, kur tas prefiksas gyvena, todėl juos meta arba persiunčia į nenaudingą vietą. Saugyklos VLAN niekas nebuvo sukonfigūruota neteisingai; jo kelias buvo pasiskolintas, ir paskola buvo pareikalauta atgal.

Pagunda griebtis plataus išimties, pavyzdžiui, /1 maršrutų poros ar antrojo numatytojo maršruto. Atsispirkite. Kuo siauresnė išimtis, tuo lengviau ją paaiškinti, patikrinti ir pašalinti, kai tinklas pasikeičia.

Įdėkite išimtį į lentelę, kuri laimi

Vienoje maršrutizavimo lentelėje /24 nugali /0 arba /1 pagal ilgiausią prefikso atitikimą, todėl konkretaus maršruto į saugyklos VLAN per vietinį šliuzą pakanka, jei lentelė apskritai konsultuojama. Linuxe įprasta forma trumpa:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Politikos pagrindu maršrutizavimas apsunkina šią garantiją. Ankstesnė taisyklė gali nusiųsti srautą į lentelę, kurios pačios numatytasis maršrutas rodo į tunelį, ir pagrindinė lentelė su jūsų /24 tada niekada nepasiekiama. Patikrinkite taisykles prieš manydami, kad maršrutas yra autoritetingas, nes teisingai atrodantis įrašas neteisingoje lentelėje paaiškina gedimą, kuris atrodo kaip sulaužytas maršrutas.

Tada padarykite įrašą nuolatinį per kliento palaikomą mechanizmą arba tinklo tvarkyklę, kuriai priklauso sąsaja. Komandinėje eilutėje įvestas maršrutas išnyksta kitą kartą prisijungus, o maršrutas, susietas su vienu Wi-Fi šliuzu, neperkeliamas į kitą tinklą, kurį aplankys nešiojamasis kompiuteris.

Pavadinimai ir politika neseka maršrutais

Maršruto sutaisymas atkuria paketus, o ne pavadinimus. Jei vietiniai įrenginiai sprendžiami per primestą sprendiklį, kuris nieko apie juos nežino, prijungimas vis tiek nepavyksta, nors adresas pasiekiamas. Vietiniams pavadinimams reikia vietinės arba padalytos DNS tvarkos, ir tai atskiras sprendimas nuo maršruto išimties.

Politika vėl atskira. VPN kliento vietinės prieigos filtras gali sąmoningai uždrausti srautą į privačius diapazonus, ir maršrutas nepanaikina šios taisyklės. Nepatikimame tinkle privatus adresas taip pat nėra įrodymas, kad paskirties vieta yra jūsų saugyklos serveris, todėl išimtis turėtų būti tokia pat konkreti kaip ir pats maršrutas.

Sutartis, kurią galite perduoti

Užbaigtas projektas turėtų būti skaitomas kaip trumpas sąrašas: bendras interneto srautas eina tuneliu, o šie įvardyti vietiniai prefiksai išlaiko savo kelią per vietinį maršrutizatorių. Užsirašykite prefiksus, kitą šuolį ir su jais einantį DNS galūnę, ir laikykite sąrašą pakankamai trumpą, kad kas nors galėtų jį patikrinti neskaitęs maršrutizavimo lentelės.

Stebėkite vietinių ir nuotolinių diapazonų persidengimą. Saugyklos VLAN, kuris dalijasi prefiksu su kuo nors už VPN, bus sprendžiamas pagal konkretesnį maršrutą, o gaunama elgsena klaidina taip, kad atrodo su pertraukomis. Vienos pusės pernumeravimas paprastai pigesnis nei amžinai derinti dviprasmiškumą.

Išbandykite sutartį du kartus: kartą su pakeltu tuneliu ir kartą su nuleistu. Jei vietinis kelias veikia tik vienoje iš tų būsenų, išimtis dar nėra sutartis.