Таа L2TP адреса е IPCP, не DHCP закуп во LAN

Врската се крева и адаптерот покажува адреса во опсегот на канцеларијата, па природниот заклучок е дека VPN ви даде LAN адреса и со тоа ве стави на LAN. Ниту една од двете половини не е сосема точна. L2TP пренос PPP сесија, а PPP ги преговара внатрешната IPv4 адреса со IPCP. Таа адреса е параметар на сесијата договорен меѓу две страни, не закуп што го издава DHCP серверот на канцеларијата, и нејзиното држење не ве прави сосед на канцелариската жица.

Две адреси во една врска

Има две независни преговори во L2TP врска. Надворешната воспоставува заштитена патека меѓу вашиот уред и крајната точка на VPN преку која и да е мрежа што ја имате. Внатрешната е PPP сесијата и токму таму се договараат адресата на вашата сесија и адресата на другата страна. Интернет сообраќајот може да излезе сосема под трета адреса, јавната адреса на крајната точка, поради што страницата за проверка на VPN и адресата на адаптерот ретко се совпаѓаат.

Одвојувањето на тие три улоги одговара на повеќето прашања што луѓето ги носат на овој слој. Приватен број на VPN интерфејсот е нормален и очекуван. Тој не кажува ништо за тоа дали крајната точка го променила вашиот јавен излез, и сам по себе не одлучува до кои одредишта стигнува вашиот сообраќај.

Што точно прави IPCP

IPCP е контролен протокол за IPv4 на PPP. Секоја страна испраќа Configure-Request пораки што ги опишуваат опциите што ги сака, а опцијата за адреса е една од нив. Клиент што сѐ уште нема адреса обично прашува со 0.0.0.0, а серверот одговара со Configure-Nak што ја носи адресата што сака клиентот да ја користи. Потоа клиентот ја бара таа адреса и сесијата се крева со локална и оддалечена адреса.

Таа размена е документирана во спецификациите на PPP и IPCP и објаснува детаљ што изгледа како грешка: адресата ја избира серверот според сопствената политика, која може да биде базен, поставка по корисник или адреса врзана за автентифицираниот идентитет. Кога базенот ќе се исцрпи или политиката ќе се судри со барањето, автентикацијата може да успее додека преговорот за адреса не успее, а клиентот пријавува врска што никогаш не се смирува.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Ред во дневникот на pppd што наведува локална и оддалечена адреса е успешниот крај на тој преговор. Неговото отсуство, покрај успешна автентикација, упатува на фазата на адреса, а не на акредитивите.

Зошто LAN не може да ви одговори

Адреса од опсегот на далечната страна создава очекување дека домаќините на тој LAN можат да ве достават, а најчесто не можат, освен ако серверот не ја насочи адресата на вашата сесија назад во тунелот. Да се биде во базен е изјава за доделувањето, не за топологијата. Серверот за датотеки на канцеларијата нема маршрута до адресата на вашата сесија, освен ако VPN серверот не ја препрати, а можеби тоа воопшто не е дозволено, дури и да ја препраќа.

Затоа и опсезите што се преклопуваат предизвикуваат проблеми несразмерни со нивната привидна големина. Ако базенот се преклопува со LAN што клиентот веќе го користи, табелата за рутирање на клиентот сега има две тврдења за истиот префикс, а погрешното често победува од причини што немаат врска со тунелот.

Прво проверете ја сесијата, потоа рутата

Прво проверете го интерфејсот, потоа рутите, потоа едно одредиште што е важно. Секој чекор има свој начин на неуспех, а тестирањето на сите три одеднаш дава заклучок што подоцна не можете да го одбраните.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Ако јавната проверка ја покажува адресата на крајната точка додека приватно одредиште истекува, тунелот ја носи вашата стандардна рута и далечната страна не одговара за тоа одредиште. Ако приватното одредиште одговара, но јавната проверка не се менува, профилот користи разделено тунелирање и само дел од сообраќајот ја користи сесијата.

Држете ги трите фази одвоени

Автентикацијата, преговорот за адреса и препраќањето не успеваат различно, и секоја има различен сопственик. Акредитивите се проблем на идентитет, исцрпеноста на IPCP е проблем на серверска политика, а недостижната повратна рута е проблем на дизајн на мрежата. Пријавувањето на сите три како “VPN е расипан” гарантира бавно решение.

Запишете ја доделената адреса, базенот од кој доаѓа и дали LAN треба да ја достигне. Таа една белешка го спречува следниот човек да претпостави DHCP закуп и да бара опсег што никогаш не бил вклучен.