VPN adapteris rodo /32: tai nereiškia vieno paskirties taško

Adapteriai rodo 255.255.255.255, ir dažnai daroma išvada, kad VPN pasiekia tiksliai vieną adresą. Toks skaitymas sumaišo paties kliento adresą su paskirties taškų, maršrutizuojamų per tunelį, rinkiniu. Taškas-taškas arba maršrutizuotoje sąsajoje tai du skirtingi objektai, ir pasiekiamumą riboja tik vienas jų. Mitas išlieka todėl, kad kaukė atrodo kaip potinklio kaukė, kurios žmonės mokėsi Ethernet tinkle.

Mitas: mazgo kaukė reiškia vieną pasiekiamą mazgą

/32 priskyrimas pasako sąsajai, kuris adresas priklauso šiam jungties galui, o taškas-taškas jungtyje tai ir yra visa jo prasmė. Partnerio adresas yra atskiras laukas, o maršrutai, sakantys, kas yra už partnerio, vėl yra atskiri. Kaukėje niekas neaprašo nutolusio tinklo, nes kaukė nėra vieta, kurioje aprašomi nutolę tinklai. Skaityti ją kaip pasiekiamumo ribą yra tas pats, kas skaityti savo namo numerį kaip visų adresų, kuriuos leidžiama aplankyti, sąrašą.

Sumaištis turi tikrą šaknį: Ethernet tinkle mazgo kaukė tikrai reikštų vieną adresą tame segmente. Tunelis nėra Ethernet segmentas, ir tai, kas juo eina, sprendžia kliento maršrutizavimo lentelė, o ne kaukė. Todėl ta pati /32 gali stovėti prieš visą duomenų centrą.

Skaičiuokite adresą ir maršrutus kaip atskirus objektus

Atspausdinkite sąsają ir lentelę kartu, o paskui skaitykite juos kaip du atsakymus į du klausimus. Adresas atsako, kas yra šis galas; maršrutai atsako, kur gali eiti srautas. Trečias klausimas, kokius paskirties taškus leidžia tinklų sietuva, kliente visai nesimato. iproute2 adresų žinynas būtent todėl atskirai aprašo vietinio adreso, partnerio ir prefikso maršruto laukus.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows aplinkoje ta pati perskyra yra tarp adresų sąrašo ir maršrutizavimo lentelės, o paieškos komanda yra greičiausias būdas pamatyti, kuri laimi konkrečiam paskirties taškui. Jei paieška grąžina tunelio sąsają, klientas siųs paketą ten. Jei ji grąžina fizinį adapterį, klientas niekada neklausia VPN, ir jokia serverio pusės teisė to nepakeis. Tikrinkite paskirties tašką, kurio tikrai reikia, o ne bendrą viešą adresą.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Sustokite, jei paieška rodo netinkamą sąsają. Tai kliento maršrutizavimo problema, ir ji taisoma kliente.

Kodėl kaukės platinimas paprastai viską pablogina

Priskyrimą pakeitus į /24, kad atrodytų kaip biuro LAN, jungtyje gali atsirasti prefiksas: branduolys dabar tiki, kad visas /24 yra tiesiogiai prijungtas prie tunelio sąsajos. Srautas į adresus, kurie turėtų būti maršrutizuojami per tinklų sietuvą, tada siunčiamas taip, tarsi jungtyje būtų kaimynas. Rezultatas yra juoda skylė, kuri atrodo kaip serverio sutrikimas.

Ji taip pat paslepia tikrą problemą, tai yra trūkstamą maršrutą arba trūkstamą teisę tinklų sietuvoje. Nė vieno iš jų nesukuria platesnė kaukė, ir abu išlieka po pakeitimo. Jei dizainui reikia didesnio prefikso sąsajoje, tai sprendimas dėl naudojamo sąsajos modelio, priimtas laikant dokumentaciją rankoje. Kaukės kopijavimas iš kito produkto ekrano kopijų nėra tas sprendimas.

Jei trūksta nutolusio prefikso maršruto, sutvarkykite jo parūpinimą. Jei jis yra, o ryšys vis tiek atmetamas, kaukė niekada nebuvo diagnozė.

Kai maršrutas teisingas, o srautas vis tiek nepavyksta

Teisingas maršrutas įrodo tik tai, kad klientas siųs paketą. Tinklų sietuva vis tiek turi priimti paskirties tašką, grįžimo kelias turi egzistuoti priskirtam adresui, o paslauga turi leisti srautą. Išbandykite šiuos tris atskirai: paiešką kliente, leistiną tinklų sietuvos apimtį ir užklausą vienam reikalingam serveriui. Tai, kad autentifikacija pavyksta prieš visiems trims atsiduriant vietoje, yra normalu, ir todėl prisijungęs klientas vis tiek gali nieko nepasiekti.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Tinklo objektus ir grupės teises laikykite pas jų savininką paslaugoje, kurią valdo įrenginys. Tai, ko klientui sakoma siekti, ir tai, ką jam leidžiama naudoti, yra skirtingi nustatymai, dažnai skirtinguose ekranuose. Pakeisti vieną ir išbandyti kitą yra tai, kaip bilietas šokinėja tarp dviejų komandų.

Mitas, kurį reikia išleisti į pensiją, yra tai, kad kaukė yra pasiekiamumo riba. Skaičiuokite adresą, maršrutus ir tinklų sietuvos politiką kaip tris atskirus faktus, ir /32 nustoja atrodyti kaip apribojimas ir pradeda atrodyti kaip įprastas tunelio priskyrimas.