VPN адаптерот покажува /32: тоа не значи само една дестинација

Адаптерите покажуваат 255.255.255.255, и често се заклучува дека VPN стигнува точно до една адреса. Тоа читање ја меша сопствената адреса на клиентот со множеството дестинации што се насочуваат низ тунелот. На точка-до-точка или рутиран интерфејс тоа се два различни објекта, и само еден од нив ја ограничува достапноста. Митот опстојува затоа што маската изгледа како маската на подмрежата што луѓето ја научиле на Ethernet.

Митот: маска на домаќин значи еден достапен домаќин

Доделувањето /32 му кажува на интерфејсот која адреса припаѓа на овој крај од врската, а на точка-до-точка врска тоа е целото нејзино значење. Адресата на партнерот е посебно поле, а маршрутите што кажуваат што лежи зад партнерот се повторно посебни. Ништо во маската не ја опишува оддалечената мрежа, зашто маската не е местото каде што се опишуваат оддалечените мрежи. Да се чита како граница на достапност е како да го читаш сопствениот куќен број како список на сите адреси што смееш да ги посетиш.

Забуната има вистински корен: на Ethernet, маската на домаќин навистина би значела една единствена адреса на тој сегмент. Тунелот не е Ethernet сегмент, и за тоа што поминува низ него одлучува рутирачката табела на клиентот, не маската. Затоа истата /32 може да стои пред цел податочен центар.

Читајте ја адресата и маршрутите како одделни објекти

Испечатете го интерфејсот и табелата заедно, потоа читајте ги како два одговора на две прашања. Адресата одговара кој е овој крај; маршрутите одговараат каде смее да оди сообраќајот. Трето прашање, кои дестинации ги дозволува портата, воопшто не се гледа на клиентот. Референцата за адреси на iproute2 токму затоа одделно ги опишува полињата за локална адреса, партнер и префиксна маршрута.

ip addr show tun0
ip route show
ip route get 10.60.5.10

На Windows постои истото раздвојување меѓу списокот со адреси и рутирачката табела, и наредбата за пребарување е најбрзиот начин да се види која победува за одредена дестинација. Ако пребарувањето го врати тунелскиот интерфејс, клиентот ќе го испрати пакетот таму. Ако го врати физичкиот адаптер, клиентот никогаш не ја прашува VPN, и никаква дозвола на страната на серверот тоа нема да го смени. Проверете ја дестинацијата што навистина ви треба, а не општа јавна адреса.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Запрете ако пребарувањето покажува на погрешен интерфејс. Тоа е проблем со рутирањето на клиентот, и се исправа на клиентот.

Зошто проширувањето на маската обично го влошува

Менувањето на доделувањето во /24 за да личи на канцелариска LAN може да создаде префикс на врската: јадрото сега верува дека целата /24 е директно приклучена на тунелскиот интерфејс. Сообраќајот до адреси што треба да се насочат низ портата потоа се испраќа како да има сосед на врската. Резултатот е црна дупка што личи на откажување на сервер.

Тоа го крие и вистинскиот проблем, а тоа е маршрута што недостасува или дозвола што недостасува на портата. Ниту едното не го создава поширока маска, и двете преживуваат по промената. Ако дизајнот бара поголем префикс на интерфејсот, тоа е одлука за моделот на интерфејс што се користи, донесена со документацијата во рака. Копирањето маска од екрански снимки на друг производ не е таа одлука.

Ако недостасува маршрутата на оддалечениот префикс, исправете го неговото обезбедување. Ако таа постои, а врската сепак се одбива, маската никогаш не била дијагнозата.

Кога маршрутата е точна, а текот сепак не успева

Точната маршрута докажува само дека клиентот ќе го испрати пакетот. Портата сепак треба да ја прифати дестинацијата, повратниот пат треба да постои за доделената адреса, и услугата треба да го дозволи текот. Тестирајте ги овие три одделно: пребарувањето на клиентот, дозволениот опсег на портата и барање до еден потребен сервер. Успешната автентикација пред сите три да бидат на место е нормална, и токму затоа поврзан клиент може да не стигне никаде.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Држете ги мрежните објекти и дозволите за групи кај нивниот сопственик на услуга управувана од уред. Она што на клиентот му се кажува да го достигне и она што му е дозволено да го користи се различни поставки, често на различни екрани. Да се смени едното и да се тестира другото е како барањето да отскокнува меѓу два тима.

Митот што треба да се пензионира е дека маската е граница на достапност. Читајте ја адресата, маршрутите и политиката на портата како три одделни факти, и /32 престанува да личи на ограничување и почнува да личи на обично тунелско доделување.