Рутер во VPN клиентски режим: зошто исчезнуваат LAN уредите

Верувањето дека клиентскиот режим сам по себе го убива LAN пристапот ги води луѓето во погрешното мени за поставки, а вистинските причини обично се две. Тунелот не го отстранува LAN мостот и не ги спречува жичените и безжичните клиенти да стигнат еден до друг. Локалниот пристап го крши или функцијата за проверка во патеката за препраќање на рутерот, или LAN опсегот на адреси што се премести кога firmware-от го направи тоа. Двете го создаваат истото поплака, и ниту една не се поправа со преинсталирање на VPN профилот.

Мит и што навистина менува клиентскиот режим

Клиентскиот режим додава тунелски интерфејс и стандардна патека што минува низ него, а потоа го препраќа LAN сообраќајот во тој тунел. Мостот меѓу жичените порти и безжичните радио модули останува недопрен, како и локалното преклопување. Она што се менува е политиката: кој сообраќај се препраќа, каде се преведува и кој резолвер го добиваат клиентите.

Оваа разлика е важна зашто скршен LAN обично значи дека се променила една од тие три политики, а не дека рутерот престанал да биде прекинувач. Рутерот што сѐ уште одговара на сопствената административна страница е доказ дека LAN интерфејсот е жив. Рутерот што воопшто не одговара има друг проблем, како променета LAN адреса или клиент во погрешна подмрежа.

Затоа корисниот прв чекор е да се открие кој слој се скршил, а не да се менува слојот што го сомничите.

Проверете три цели пред да допрете поставка

Од жичен клиент, проверете три цели одделно и запишете го секој резултат: сопствената LAN адреса на рутерот, друг уред на истиот прекинувач по IP и нешто достапно само преку тунелот. Направете ги по тој редослед, зашто секој резултат исклучува различен слој. Користете адреси наместо имиња во првиот круг, бидејќи неуспехот на име го меша DNS во прашање за поврзаност.

Моделот на одговори е дијагнозата. Рутер што одговара додека локалните уреди не, упатува на локално преклопување или функција за филтрирање, а не на рутирање. Локални уреди што одговараат додека тунелската страна не, упатуваат на тунелската рута или далечниот firewall. Ако сѐ одговара по адреса, а имињата не успеваат, тоа е прашање на резолвер и никакво уредување на рути нема да го поправи.

Држете ја табелата до резултатите од тестот. Таа нејасна поплака ја претвора во една линија по која може да се постапи.

Безбедносниот слој внатре во патеката за препраќање

Потрошувачките рутери сѐ почесто доаѓаат со функција за проверка што го надгледува препратениот сообраќај, и таа работи во истата патека што ги носи пакетите од LAN во тунелот. Кога таа проверка не може да го класифицира тунелскиот сообраќај, препраќањето може да заглави додека самиот тунел останува активен и рутерот известува за здрава врска. Ништо во VPN дневникот не го покажува тоа, бидејќи VPN-от навистина се поврза.

Дијагнозата е контролиран експеримент, не трајна промена. Запишете ја тековната поставка, исклучете ја функцијата за времетраење на еден тест, подигнете го тунелот повторно и проверете еден локален домаќин по адреса. Вратеното препраќање е доказот што ви требаше, и тогаш компромисот станува одлука наместо претпоставка. Ако ништо не се промени, веднаш вклучете ја повторно и преминете на причината за адресирањето.

Да се остави платена безбедносна функција исклучена за тунелот да продолжи да работи е компромис што треба свесно да се направи и запише. Вреди да се праша и дали тунелот припаѓа на друг уред, бидејќи рутер што мора да проверува сѐ и рутер што мора да препраќа сѐ се две различни работи.

Втората причина: LAN опсегот се премести

Ажурирањата на firmware-от редовно ја враќаат LAN адресата на стандардната вредност на производителот, а некои рутери имаат јасен прекинувач за режим што одлучува дали LAN задржува приватен опсег или наследува еден од уредот погоре. Клиент што очекува 192.168.8.x може да заврши на 10.64.0.x, и тогаш SSH сесијата до домаќин истекува иако тунелот е сосема здрав.

ipconfig /all
ip addr show
ip route get 192.168.8.20

Прочитајте го префиксот и портата од закупот пред да ја отворите страницата на рутерот. Првите две команди покажуваат што клиентот навистина добил, а третата покажува кој интерфејс клиентот би го користел за локална адреса, и така останата рута или застарена подмрежа се откриваат. Потоа споредете го тоа со LAN страницата и режимот во кој е рутерот.

Ако опсегот не може да се врати, ажурирајте го секој објект што го именува: DHCP резервации, секоја статична рута во старата подмрежа и секое правило на firewall што го носи претходниот префикс. Опсегот што се судира со далечната подмрежа на тунелот е полошата варијанта, бидејќи локалните уреди остануваат достапни додека далечните одредишта тивко се рутираат во LAN.

Повторно поврзете се и тестирајте повторно по редослед на пакети

По која било од двете промени, повторно поврзете го тунелот и повторете ги тестовите по редослед на пакети: рутер, локален домаќин, далечен домаќин, потоа имиња, потоа апликацијата. Тестирањето на апликацијата прво крие кој слој сѐ уште е скршен, а обидот на прелистувачот кон кеширано име може да изгледа како рутирачка грешка.

Запишете ја верзијата на firmware-от, LAN префиксот и состојбата на функцијата за проверка до VPN профилот. Сите три се конфигурација што следното ажурирање може да ја препише, и два реда белешки ја штедат штотуку поминатата час.