Kāpēc pilna tuneļa VPN slēpj jūsu maršrutētos vietējos VLAN

Opcija „allow local network“ VPN klientā izklausās tā, it kā tā aptvertu visu ēkā. Praksē tā parasti pievieno dažus privāto adrešu izņēmumus tuneļa noklusējuma maršrutam un tur apstājas. Jūsu krātuves VLAN paliek pieejams tikai tad, ja maršruts uz šo konkrēto prefiksu pārdzīvo tuneļa ierašanos, un daudzos klientos tas nepārdzīvo.

Tas ir maršrutēšanas, nevis VPN iestatījuma jautājums, un tā ir laba ziņa: tam ir konkrēta atbilde.

Ko allow-local-network faktiski aptver

Klienti šo opciju ievieš dažādi. Daži pievieno maršrutus apakštīklam, kuram dators ir pievienots, daži pievieno RFC 1918 diapazonus, un daži izslēdz tikai noklusējuma vārteju. Neviens no tiem nezina, ka jūsu biroja maršrutētājs apkalpo arī krātuves VLAN, laboratorijas segmentu vai printeru apakštīklu, jo šie prefiksi nav uz vada, ko klients redz. Lasiet paša klienta dokumentāciju par precīzu uzvedību, nevis pieņemiet, ka etiķete apraksta jūsu topoloģiju.

Atšķirība ir vissvarīgākā pilna tuneļa dizainā, kur klients apzināti aizstāj noklusējuma maršrutu, lai viss trafiks ietu caur VPN. Tā ir visa dizaina jēga, un tieši tas liek vietējiem maršrutētajiem tīkliem pazust. Tos nekad neaptvēra pašu maršruts; tie brauca pa tikko aizstāto noklusējuma maršrutu. Klients nevar maršrutēt to, par kā esamību tas nezina, un tas uzzina tikai prefiksus, kas piesaistīti tā paša saskarnei. Viss pārējais jāapraksta kādam, kas pārzina topoloģiju.

Savienotie maršruti apstājas pie pirmā maršrutētāja

Darbstacija 192.168.10.20/24 ar vārteju 192.168.10.1 automātiski iegūst savienotu maršrutu 192.168.10.0/24. Krātuves VLAN 192.168.20.0/24 ir cits prefikss, pieejams tikai caur šo vārteju, un darbstacijai tam nav maršruta, izņemot noklusējuma. Pirms tunelis paceļas, parastais noklusējuma maršruts nejauši sūta krātuves trafiku uz 192.168.10.1, un viss darbojas.

Kad VPN instalē pilna tuneļa noklusējuma maršrutu, paketes uz 192.168.20.1 seko jaunajam noklusējumam tunelī. Attālajai vārtejai nav ne jausmas, kur šis prefikss atrodas, tāpēc tā tās izmet vai pārsūta uz bezjēdzīgu vietu. Krātuves VLAN nekas nebija nepareizi konfigurēts; tā ceļš bija aizņemts, un aizdevums tika pieprasīts atpakaļ.

Kārdinājums ir ķerties pie plaša izņēmuma, piemēram, /1 maršrutu pāra vai otra noklusējuma maršruta. Pretojieties tam. Jo šaurāks ir izņēmums, jo vieglāk to izskaidrot, pārbaudīt un noņemt, kad tīkls mainās.

Ielieciet izņēmumu tabulā, kas uzvar

Vienā maršrutēšanas tabulā /24 uzvar /0 vai /1 pēc garākās prefiksa atbilstības, tāpēc konkrēts maršruts uz krātuves VLAN caur vietējo vārteju ir pietiekams, ja tabula vispār tiek aplūkota. Linuxā parastā forma ir īsa:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Politikas maršrutēšana sarežģī šo garantiju. Agrāks noteikums var nosūtīt trafiku uz tabulu, kuras pašas noklusējuma maršruts rāda tunelī, un galvenā tabula ar jūsu /24 tad nekad netiek sasniegta. Pārbaudiet noteikumus, pirms uzskatāt maršrutu par autoritatīvu, jo pareizi izskatāms ieraksts nepareizajā tabulā izskaidro kļūmi, kas izskatās kā salauzts maršruts.

Pēc tam padariet ierakstu pastāvīgu, izmantojot klienta atbalstīto mehānismu vai tīkla pārvaldnieku, kuram pieder saskarne. Komandrindā ierakstīts maršruts pazūd nākamajā atkārtotajā savienojumā, un maršruts, kas piesaistīts vienai Wi-Fi vārtejai, nav pārnesams uz nākamo tīklu, ko apmeklē klēpjdators.

Nosaukumi un politika neseko maršrutiem

Maršruta salabošana atjauno paketes, nevis nosaukumus. Ja vietējās ierīces tiek atrisinātas caur uzspiestu risinātāju, kas par tām neko nezina, montēšana joprojām neizdodas, lai gan adrese ir sasniedzama. Vietējiem nosaukumiem nepieciešams vietējs vai sadalīts DNS izkārtojums, un tas ir atsevišķs lēmums no maršruta izņēmuma.

Politika atkal ir atsevišķa. VPN klienta vietējās piekļuves filtrs var apzināti aizliegt trafiku uz privātajiem diapazoniem, un maršruts šo noteikumu neatsauc. Neuzticamā tīklā privāta adrese arī nav pierādījums, ka galamērķis ir jūsu krātuves serveris, tāpēc izņēmumam jābūt tikpat konkrētam kā pašam maršrutam.

Līgums, ko varat nodot

Gatavajam dizainam jālasās kā īsam sarakstam: vispārējais interneta trafiks seko tunelim, un šie nosauktie vietējie prefiksi saglabā savu ceļu caur vietējo maršrutētāju. Pierakstiet prefiksus, nākamo lēcienu un tiem piederošo DNS galotni, un turiet sarakstu pietiekami īsu, lai kāds to varētu pārbaudīt, nelasot maršrutēšanas tabulu.

Pievērsiet uzmanību vietējo un attālo diapazonu pārklāšanās. Krātuves VLAN, kas dala prefiksu ar kaut ko aiz VPN, tiks atrisināts uz konkrētāko maršrutu, un no tā izrietošā uzvedība mulsina tā, ka šķiet periodiska. Vienas puses pārnumurēšana parasti ir lētāka nekā nenoteiktības mūžīga atkļūdošana.

Pārbaudiet līgumu divreiz: vienreiz ar paceltu tuneli un vienreiz ar nolaistu. Ja vietējais ceļš darbojas tikai vienā no šiem stāvokļiem, izņēmums vēl nav līgums.