Дајте им на LAN домаќините повратна рута за VPN со опцијата 121 на DHCP

Далечинските VPN клиенти се поврзуваат, LAN серверот одговара, а одговорот излегува низ обичниот интернет рутер и умира таму. Еден сервер може да се поправи со статична рута, но цела подмрежа од нив е подобро да се раководи таму каде што тие веќе ја добиваат својата мрежна конфигурација. Опцијата 121 на DHCPv4 распределува токму таква рута до дестинацијата, и тоа е делот што луѓето обично го прават погрешно во моментот кога ќе ја заборават стандардната. Симптомот е еднонасочен сообраќај: барањата пристигнуваат, а одговорите исчезнуваат.

Прво именувајте ги трите адреси

Земете конкретна LAN: 192.168.50.0/24 со вообичаениот стандарден рутер на 192.168.50.1 и одделен VPN портал на 192.168.50.2. Автентицираните далечински клиенти го заземаат 10.90.0.0/24.

Рутата што му е потребна на секој домаќин учесник е 10.90.0.0/24 via 192.168.50.2. Дестинацијата е базенот клиенти, а следниот скок е LAN адресата на порталот, а не неговата тунелска адреса.

Кодирајте ја како безкласна статична рута

Опцијата 121 носи парови префикс и следен скок, а RFC 3442 го дефинира и кодирањето и однесувањето на клиентот што следи. За постоечка dnsmasq инстанца што служи само оваа илустративна LAN, формата на конфигурацијата е:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Тоа е фрагмент, а не нова DHCP услуга. На сервер што опслужува неколку сегменти, ограничете ја опцијата со ознаките или мрежната политика што веќе ја користите. Држете ја претходната конфигурација при рака, зашто враќањето назад значи уште едно обновување на закупот, а не рестартирање.

Не ја изгубете стандардната рута

Ова е стапицата. Клиентот што ја добива опцијата 121 мора да ја игнорира вообичаената опција Router, па објавувањето само на рутата на VPN базенот може да го остави тој домаќин сосема без стандардна рута. Машината сѐ уште изгледа конфигурирана и тивко го губи интернетот. Корисниците тоа го опишуваат како падната мрежа додека сите интерфејси се подигнати.

Вклучете ја предвидената стандардна рута во истиот список, како што прави фрагментот погоре. Задржете ја и вообичаената опција Router за клиентите што не имплементираат безкласни рути; сопствената обработка на опции на серверот одлучува што се праќа до кого.

Проверете што ќе прифати клиентот

Домаќин со рачно зададена адреса никогаш не го фаќа ова, зашто не бара закуп. Поддршката кај клиентите исто така се разликува, па тестирајте на оперативниот систем што навистина го користите наместо да претпоставите дека секој уред ја почитува опцијата 121. Потврдете со сопствениците на тие сервери кои од нив имаат статична адреса. Тие домаќини бараат свои записи за рути, инаку едноставно нема да учествуваат.

Управуваните DHCP услуги се уште една граница. Некои облачни мрежи не им дозволуваат на администраторите да објавуваат произволни опции, а конкурентски DHCP сервер на истиот сегмент е полош од никаква опција.

Проверете го закупот, потоа пребарувањето

Нека сопственикот на DHCP ја примени промената, потоа обновете го закупот на клиент. Постоечките закупи ја задржуваат старата конфигурација додека не се обноват, па моменталните резултати не се загарантирани.

На Linux клиент прочитајте ги вистинските рути и потврдете ги двата записи:

ip -4 route
ip -4 route get 10.90.0.23

Контекстното пребарување треба да ја покаже рутата на базенот преку 192.168.50.2 и стандардната преку 192.168.50.1. Ако стандардната недостасува, сте ја репродуцирале стапицата погоре.

Потоа тестирајте ја вистинската размена

Распределбата на рути не е целиот пат. Одделниот портал сѐ уште бара проследување, сопственост над далечинските партнери и политика за пристап што го дозволува серверот, а DHCP не автентицира никого.

На крајот, имајте план за отстранување. Научената статична рута не се повлекува сама кога VPN ќе падне, па застарениот следен скок може да го претвори тој префикс во црна дупка долго откако тунелот ќе исчезне.