Tuneļa /32 kopēšana nenovirzīs biroja apakštīklu
Adrese, ko VPN piešķir jūsu adapterim, apraksta saiti, nevis galamērķi. Pievienojiet resursa prefiksu profilam un atstājiet noklusēto maršrutu mierā.
VPN pievienojas, saskarne rāda adresi ar trīsdesmit divu bitu masku, un biroja serveris paliek nesasniedzams. Nākamais solis bieži ir šo masku atkārtoti izmantot maršrutā, balstoties uz teoriju, ka saskarne apraksta, ko tunelis var sasniegt. Neapraksta. Šī adrese apraksta punktpunkta saites lokālo galu, un galamērķis, kas jums rūp, atrodas citā prefiksā tās otrā pusē.
Tiek sajauktas divas dažādas lietas: adrese, ko tunelis jums deva, un tīkls, kuru vēlaties sasniegt caur to.
Divas adreses, divi darbi
Punktpunkta tunelī klienta adrese bieži ir viena resursdatora adrese, jo saites otrā galā ir tieši viens partneris. Nav koplietota segmenta un nav ARP, tāpēc maska, kas Ethernet tīklā izskatītos absurdi, šeit ir pilnīgi normāla.
Galamērķa prefikss ir fakts par biroja tīklu, nevis par tuneli. Ja jums vajag vienu serveri, maršruts ir resursdatora maršruts uz šo serveri. Ja jums vajag visu biroja apakštīklu, maršruts ir apakštīkls. Nevienu no abām atbildēm nevar nolasīt no saskarnes, un vienas izvēle tāpēc, ka tā parādījās blakus tuneļa adresei, ir veids, kā salauzt strādājošu konfigurāciju.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Trešā rinda ir vieta, kur optimisms kļūst par pārtraukumu. Visa privātā diapazona novirzīšana tunelī, kas apkalpo tikai vienu vietu, iegrūž nesaistītu trafiku ceļā, kas to nevar piegādāt, un radušies traucējumi izskatās kā salauzts VPN, nevis kā pārāk plats maršruts.
Izvēlieties prefiksu no prasības
Pirms pieskaraties profilam, uzrakstiet prasību kā teikumu: kuri resursdatori ir jāsasniedz un kurš ir šaurākais prefikss, kas tos nosedz? Viens serveris ir resursdatora maršruts. Apakštīkls ir apakštīkla maršruts. Apakštīklu diapazons ir kopsavilkums, un kopsavilkums ir solījums, ka katra adrese tajā ir sasniedzama, kas reti ir taisnība.
Pēc tam pārbaudiet skaitli pret to, ko birojs faktiski izmanto. Prefiksa kopēšana no tērzēšanas ziņas, neapstiprinot to pret vietnes adresācijas plānu, ir veids, kā maršruts nonāk pie apakštīkla, kas nevienam nepieder.
Atcerieties arī, ka maršruts ir ceļš, nevis atļauja. Vārteja joprojām izlemj, vai jūsu klients drīkst izmantot galamērķi, un pakalpojums joprojām var jums atteikt. Pareiza maršruta instalēšana nogādā pakešu turp un neko neatbild par autorizāciju.
Pievienojiet profilam, nekad to neaizstājiet
Maršruti NetworkManager profilā ir daudzvērtību īpašība, un atšķirība starp iestatīšanu un pievienošanu ir viena rakstzīme. Izmantojiet plusa formu, lai pievienotu ierakstu un saglabātu visu jau saglabāto.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Bez plusa piešķiršana aizstāj visu sarakstu. Profilā, kas jau satur vairākus prefiksus, tas klusi izdzēš tos, kas strādāja, un simptoms parādās vēlāk kā pakalpojums, kas agrāk bija sasniedzams no šī klēpjdatora.
Izmantojiet UUID, nevis nosaukumu. Nosaukumi pēc atjaunošanas tiek dublēti, un savienojums, ko rediģējat, var nebūt tas, kas pārvadā jūsu trafiku. Vispirms pārbaudiet, vai nav identiska ieraksta, jo dublikāta pievienošana ir nekārtīga pat tad, ja tā ir nekaitīga.
Šī maršruta īpašību atsauce dokumentē galamērķi, neobligāto nākamo lēcienu, metriku un atribūtu sintaksi instalētajai versijai. Izlasiet to pirms nākamā lēciena pievienošanas, jo tas, vai tas ir vajadzīgs, ir atkarīgs no integrācijas un topoloģijas, un minēt to pēc pirmās adreses saskarņu sarakstā nav metode.
Noklusētais maršruts un DNS ir atsevišķi lēmumi
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Automātiskie maršruti ir otra lieta, ko nevajadzētu vieglprātīgi traucēt. To nomākšana, lai atrisinātu vienu trūkstošu ierakstu, var noņemt vairākus strādājošus, un tas, kurš to ieteica, parasti skatījās citu profilu ar citiem push.
DNS ir savs ceļš un savi traucējumi. Nosaukums, kas tiek atrisināts uz pareizo adresi caur nepareizu risinātāju, vai risinātājs, kas nevar atbildēt privātajai zonai, izskatīsies kā maršrutēšanas problēma, kamēr maršruts ir nevainojams. Pārbaudiet adresi un nosaukumu atsevišķi, pēc tam izlemiet, kurš slānis faktiski neizdevās.
Pārbaudiet, kas tika lietots
Saglabāta izmaiņa nav lietota izmaiņa. Atkārtoti izveidojiet savienojumu, izmantojot pārvaldnieka atbalstīto dzīves ciklu, pēc tam apskatiet faktisko maršrutu uz paredzēto galamērķi un politikas noteikumus, kas nosaka, kura tabula tiek izmantota.
Ja prefikss ir, bet savienojums joprojām neizdodas, esat pārgājis uz citu problēmu: avota adreses izvēle, atgriešanās maršruts tālajā galā vai pakalpojums, kas atsaka jūsu klientu. Katra no tām ir labāka vieta, kur skatīties, nekā profils, ko jau izlabojāt.