Зошто VPN со целосен тунел ги крие вашите рутирани локални VLAN

Прекинувачот „allow local network“ во еден VPN клиент звучи како да покрива сѐ во зградата. Во пракса тој обично додава неколку исклучоци за приватни адреси на стандардната рута на тунелот и застанува таму. Вашиот VLAN за складирање останува достапен само ако рутата за тој конкретен префикс го преживее доаѓањето на тунелот, а кај многу клиенти тоа не се случува.

Ова е прашање на рутирање, а не поставка на VPN, што е добра вест: има конкретен одговор.

Што всушност покрива allow-local-network

Клиентите ја спроведуваат таа опција на различен начин. Некои додаваат рути за подсета на која е приклучена машината, некои ги додаваат опсезите RFC 1918, а малкумина ја исклучуваат само стандардната порта. Никој од нив не знае дека вашиот канцелариски рутер служи и VLAN за складирање, лабораториски сегмент или подсет за печатачи, бидејќи тие префикси не се на жицата што клиентот ја гледа. Прочитајте ја сопствената документација на клиентот за точното однесување наместо да претпоставувате дека етикетата ја опишува вашата топологија.

Разликата е најважна во дизајнот со целосен тунел, каде клиентот намерно ја заменува стандардната рута за целиот сообраќај да оди преку VPN. Тоа е целата смисла на дизајнот, и токму тоа ги прави локалните рутирани мрежи да исчезнат. Тие никогаш не биле покриени со сопствена рута; тие се возеле на стандардната рута што штотуку е заменета. Клиентот не може да рутира она за чие постоење не знае, и учи само за префиксите прикачени на неговиот сопствен интерфејс. Сето друго мора да го опише некој што ја знае топологијата.

Поврзаните рути запираат на првиот рутер

Работна станица на 192.168.10.20/24 со порта 192.168.10.1 автоматски добива поврзана рута за 192.168.10.0/24. VLAN за складирање на 192.168.20.0/24 е друг префикс, достапен само низ таа порта, а работната станица нема рута за него освен стандардната. Пред да се крене тунелот, обичната стандардна рута случајно го испраќа сообраќајот за складирање на 192.168.10.1 и сѐ работи.

Кога VPN инсталира стандардна рута со целосен тунел, пакетите за 192.168.20.1 ја следат новата стандардна рута во тунелот. Далечната порта нема поим каде живее тој префикс, па ги отфрла или ги препраќа на бескорисно место. Ништо не беше погрешно конфигурирано на VLAN за складирање; неговата патека беше позајмена, и заемот беше повикан назад.

Искушението е да посегнете по широка исклучок, како пар рути /1 или втора стандардна рута. Одбијте го тоа. Колку е потесен исклучокот, толку полесно е да се објасни, провери и отстрани кога мрежата се менува.

Ставете го исклучокот во табелата што победува

Во една табела за рутирање, /24 победува /0 или /1 преку најдолгото совпаѓање на префикс, па конкретна рута до VLAN за складирање низ локалната порта е доволна, под услов табелата воопшто да се консултира. На Linux вообичаената форма е кратка:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Рутирањето по политика ја комплицира таа гаранција. Претходно правило може да го испрати сообраќајот во табела чијашто сопствена стандардна рута покажува во тунелот, и главната табела што го држи вашиот /24 тогаш никогаш не се достигнува. Проверете ги правилата пред да претпоставите дека рутата е меродавна, бидејќи исправно изгледен запис во погрешната табела објаснува дефект што изгледа како скршена рута.

Потоа направете го записот постојан преку механизмот што клиентот го поддржува или преку мрежниот менаџер што го поседува интерфејсот. Рутата внесена во командната линија исчезнува при следното повторно поврзување, а рутата врзана за една Wi-Fi порта не е пренослива на следната мрежа што лаптопот ја посетува.

Имињата и политиката не ги следат рутите

Поправањето на рутата ги враќа пакетите, не имињата. Ако локалните уреди се решаваат преку наметнат резолвер што не знае ништо за нив, монтирањето сѐ уште не успева, иако адресата е достапна. Локалните имиња бараат локално или поделено DNS уредување, и тоа е одделна одлука од исклучокот на рутата.

Политиката е повторно одделна. Филтерот за локален пристап на еден VPN клиент може намерно да го забрани сообраќајот кон приватните опсези, а рутата не го надминува тоа правило. На недоверлива мрежа приватната адреса исто така не е доказ дека целта е вашиот сервер за складирање, затоа исклучокот треба да биде конкретен како и самата рута.

Договор што можете да го предадете

Готовиот дизајн треба да се чита како кратка листа: општиот интернет сообраќај го следи тунелот, а овие именувани локални префикси ја задржуваат својата патека низ локалниот рутер. Запишете ги префиксите, следниот скок и DNS-суфиксот што оди со нив, и држете ја листата доволно кратка за некој да може да ја провери без читање табела за рутирање.

Внимавајте на преклопување меѓу локалните и далечните опсези. VLAN за складирање што дели префикс со нешто зад VPN ќе се реши кон рутата што е поконкретна, а добиеното однесување збунува на начин што изгледа повремено. Пренумерирањето на едната страна обично е поефтино отколку вечното отстранување на двосмисленоста.

Тестирајте го договорот двапати: еднаш со кренат тунел и еднаш со спуштен. Ако локалната патека работи само во една од тие состојби, исклучокот сѐ уште не е договор.