VPN adapteris rāda /32: tas nenozīmē vienu galamērķi

Adapteri rāda 255.255.255.255, un bieži tiek secināts, ka VPN sasniedz tieši vienu adresi. Šis lasījums sajauc paša klienta adresi ar galamērķu kopu, kas tiek maršrutēta caur tuneli. Punkts-punkts vai maršrutētā saskarnē tie ir divi dažādi objekti, un sasniedzamību ierobežo tikai viens no tiem. Mīts saglabājas tāpēc, ka maska izskatās kā apakštīkla maska, ko cilvēki iemācījās Ethernet tīklā.

Mīts: resursdatora maska nozīmē vienu sasniedzamu resursdatoru

/32 piešķīrums saskarnei pasaka, kura adrese pieder šim saites galam, un punkts-punkts saitē tas ir viss, ko tas nozīmē. Partnera adrese ir atsevišķs lauks, un maršruti, kas saka, kas atrodas aiz partnera, atkal ir atsevišķi. Nekas maskā neapraksta attālo tīklu, jo maska nav vieta, kur apraksta attālos tīklus. Lasīt to kā sasniedzamības robežu ir tas pats, kas lasīt sava nama numuru kā sarakstu ar visām adresēm, kuras drīkst apmeklēt.

Sajukumam ir īsta sakne: Ethernet tīklā resursdatora maska patiešām nozīmētu vienu adresi tajā segmentā. Tunelis nav Ethernet segments, un to, kas caur to iet, nosaka klienta maršrutēšanas tabula, nevis maska. Tāpēc tā pati /32 var stāvēt visas datu centra priekšā.

Lasi adresi un maršrutus kā atsevišķus objektus

Izdrukā saskarni un tabulu kopā, tad lasi tās kā divas atbildes uz diviem jautājumiem. Adrese atbild, kas ir šis gals; maršruti atbild, kur drīkst iet plūsma. Trešais jautājums, kādus galamērķus atļauj vārteja, klientā nemaz nav redzams. iproute2 adrešu uzziņa tieši tāpēc atsevišķi apraksta vietējās adreses, partnera un prefiksa maršruta laukus.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows vidē tāda pati atdalīšana ir starp adrešu sarakstu un maršrutēšanas tabulu, un meklēšanas komanda ir ātrākais veids, kā redzēt, kura uzvar konkrētam galamērķim. Ja meklēšana atgriež tuneļa saskarni, klients sūtīs pakešu turp. Ja tā atgriež fizisko adapteri, klients nekad nejautā VPN, un nekādas servera puses atļaujas to nemainīs. Pārbaudi galamērķi, kas tev tiešām vajadzīgs, nevis vispārīgu publisku adresi.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Apstājies, ja meklēšana norāda uz nepareizo saskarni. Tā ir klienta maršrutēšanas problēma, un tā tiek labota klientā.

Kāpēc maskas paplašināšana parasti visu pasliktina

Piešķīruma maiņa uz /24, lai izskatītos kā biroja LAN, var radīt prefiksu uz saites: kodols tagad uzskata, ka visa /24 ir tieši pievienota tuneļa saskarnei. Plūsma uz adresēm, kas būtu jāmaršrutē caur vārteju, tad tiek sūtīta tā, it kā uz saites būtu kaimiņš. Rezultāts ir melna bedre, kas izskatās kā servera bojājums.

Tas arī noslēpj īsto problēmu, proti, trūkstošu maršrutu vai trūkstošu atļauju vārtejā. Nevienu no tiem nerada platāka maska, un abi pārdzīvo izmaiņas. Ja dizainam vajadzīgs lielāks prefikss saskarnē, tas ir lēmums par izmantoto saskarnes modeli, pieņemts ar dokumentāciju rokā. Maskas kopēšana no cita produkta ekrānuzņēmumiem nav šis lēmums.

Ja trūkst attālā prefiksa maršruta, izlabo tā nodrošinājumu. Ja tas ir, bet savienojums joprojām tiek noraidīts, maska nekad nav bijusi diagnoze.

Kad maršruts ir pareizs, bet plūsma joprojām neizdodas

Pareizs maršruts pierāda tikai to, ka klients pakesi nosūtīs. Vārtejai joprojām jāpieņem galamērķis, atgriešanās ceļam jāpastāv piešķirtajai adresei, un pakalpojumam jāatļauj plūsma. Pārbaudi šos trīs atsevišķi: meklēšanu klientā, vārtejas atļauto tvērumu un pieprasījumu vienam nepieciešamam serverim. Tas, ka autentifikācija izdodas pirms visiem trim ir vietā, ir normāli, un tāpēc pievienots klients joprojām var neko nesasniegt.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Turēt tīkla objektus un grupas atļaujas pie to īpašnieka pakalpojumā, ko pārvalda ierīce. Tas, kas klientam jāsasniedz, un tas, ko tam atļauts izmantot, ir dažādi iestatījumi, bieži dažādos ekrānos. Mainīt vienu un pārbaudīt otru ir tas, kā biļete lēkā starp divām komandām.

Mīts, kas jāizvada pensijā, ir tas, ka maska ir sasniedzamības robeža. Lasi adresi, maršrutus un vārtejas politiku kā trīs atsevišķus faktus, un /32 pārstāj izskatīties kā ierobežojums un sāk izskatīties kā parasts tuneļa piešķīrums.