Бүрэн туннель VPN яагаад локал VLAN-уудыг нуудаг вэ

VPN клиент дэх «локал сүлжээг зөвшөөрөх» гэсэн унтраалга барилгийн бүх зүйлийг хамардаг юм шиг сонсогддог. Бодит байдал дээр энэ нь туннелийн үндсэн маршрутад хэдхэн хувийн хаягийн үл хамаарах зүйл нэмээд л зогсдог. Таны хадгалалтын VLAN-д хүрэх боломж нь зөвхөн тухайн префиксийн маршрут туннель ирэхэд хадгалагдвал л үлддэг бөгөөд олон клиент дээр тийм байдаггүй.

Энэ бол VPN тохиргоо биш, харин чиглүүлэлтийн асуудал бөгөөд энэ нь сайн хэрэг: түүнд тодорхой хариулт бий.

«Локал сүлжээг зөвшөөрөх» нь үнэндээ юуг хамардаг вэ

Клиентүүд энэ сонголтыг өөр өөрөөр хэрэгжүүлдэг. Зарим нь машины холбогдсон дэд сүлжээний маршрут нэмдэг, зарим нь RFC 1918-ийн хүрээг нэмдэг, цөөн нь зөвхөн үндсэн гарцыг хасалтад оруулдаг. Таны оффисын рутер мөн хадгалалтын VLAN, лабораторийн сегмент эсвэл принтерийн дэд сүлжээг үйлчилдэг гэдгийг тэдний нэг ч мэддэггүй, учир нь тэдгээр префикс клиентийн харж чадах сүлжээнд байхгүй. Шошго таны топологийг дүрсэлдэг гэж таамаглахын оронд тухайн клиентийн өөрийн баримт бичгээс яг үйлдлийг нь уншаарай.

Энэ ялгаа нь бүрэн туннелийн загварт хамгийн чухал бөгөөд клиент бүх урсгал VPN-ээр дамжихын тулд үндсэн маршрутыг зориуд сольдог. Энэ бол загварын гол утга бөгөөд локал чиглүүлэлттэй сүлжээнүүд алга болох шалтгаан нь ч мөн адил. Тэдгээр нь өөрийн маршрутаар хэзээ ч хамрагдаж байгаагүй; тэд дөнгөж солигдсон үндсэн маршрутад унаж явж байсан. Клиент оршин байгаагаа мэдэхгүй зүйлийг чиглүүлж чадахгүй бөгөөд зөвхөн өөрийн интерфейст холбогдсон префиксүүдийг мэддэг. Бусад бүх зүйлийг топологийг мэддэг хэн нэгэн тайлбарлах ёстой.

Холбогдсон маршрутууд эхний рутер дээр зогсдог

192.168.10.1 гарцтай 192.168.10.20/24 ажлын станц 192.168.10.0/24-д зориулсан холбогдсон маршрутыг автоматаар авдаг. 192.168.20.0/24 дахь хадгалалтын VLAN нь өөр префикс бөгөөд зөвхөн тэр гарцаар хүрэх боломжтой бөгөөд ажлын станцад үндсэн маршрутаас өөр маршрут байхгүй. Туннель босохоос өмнө ердийн үндсэн маршрут хадгалалтын урсгалыг 192.168.10.1 рүү илгээдэг тул бүх зүйл хэвийн ажилладаг.

VPN бүрэн туннелийн үндсэн маршрут суулгахад 192.168.20.1-д зориулсан пакетууд шинэ үндсэн маршрутаар туннель руу явна. Алсын гарц тэр префикс хаана байгааг мэдэхгүй тул пакетуудыг хаядаг эсвэл хэрэггүй газар руу дамжуулдаг. Хадгалалтын VLAN дээр юу ч буруу тохируулаагүй; түүний зам зээлээр авсан байсан бөгөөд зээлийг нь эргүүлэн татсан юм.

Уруу таталт нь /1 маршрутын хос эсвэл хоёр дахь үндсэн маршрут гэх мэт өргөн үл хамаарах зүйл ашиглах явдал юм. Тэсвэрлээрэй. Үл хамаарах зүйл нарийн байх тусам тайлбарлах, шалгах, сүлжээ өөрчлөгдөхөд устгах нь хялбар байдаг.

Үл хамаарах зүйлийг ялдаг хүснэгтэд бичээрэй

Нэг чиглүүлэлтийн хүснэгт дотор /24 нь хамгийн урт префиксийн тохирлоор /0 эсвэл /1-ийг дардаг тул хүснэгтийг ер нь ашиглаж байгаа тохиолдолд локал гарцаар хадгалалтын VLAN руу хийх тодорхой маршрут хангалттай. Линукс дээр ердийн хэлбэр нь богино:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Бодлогын чиглүүлэлт энэ баталгааг хүндрүүлдэг. Өмнөх дүрэм урсгалыг өөрийн үндсэн маршрут туннель руу заасан хүснэгт рүү илгээж болох бөгөөд таны /24-ийг агуулсан үндсэн хүснэгтэд хэзээ ч хүрэхгүй. Маршрутыг бүрэн эрхтэй гэж үзэхээс өмнө дүрмүүдийг шалгаарай, учир нь буруу хүснэгтэд байгаа зөв харагдах бичлэг нь эвдэрсэн маршрут мэт харагдах алдааг тайлбарлаж өгдөг.

Дараа нь бичлэгийг клиентийн дэмждэг механизм эсвэл интерфейсийг эзэмшдэг сүлжээний менежерээр дамжуулан байнгын болго. Промпт дээр бичсэн маршрут дараагийн дахин холбогдоход алга болдог, нэг Wi-Fi гарцад уягдсан маршрут зөөврийн компьютер дараагийн сүлжээнд очиход шилждэггүй.

Нэр, бодлого маршрутыг дагадаггүй

Маршрутыг засах нь пакетыг сэргээдэг, нэрийг биш. Хэрэв локал төхөөрөмжүүд тэдний талаар юу ч мэдэхгүй түлхэгдсэн резолвероор шийдэгддэг бол хаяг хүртээмжтэй байсан ч холболт бүтэлгүйтсээр байна. Локал нэрэнд локал эсвэл хуваасан DNS зохицуулалт хэрэгтэй бөгөөд энэ нь маршрутын үл хамаарах зүйлээс тусдаа шийдвэр юм.

Бодлого дахин тусдаа. VPN клиентийн локал хандалтын шүүлтүүр хувийн хүрээ рүү чиглэсэн урсгалыг зориуд хориглож болох бөгөөд маршрут тэр дүрмийг дарж чадахгүй. Итгэмжгүй сүлжээнд хувийн хаяг нь очих газар таны хадгалалтын сервер гэдгийг батлахгүй тул үл хамаарах зүйл нь маршрут шигээ нарийн байх ёстой.

Шилжүүлж болох гэрээ

Эцсийн загвар нь богино жагсаалт мэт уншигдах ёстой: ерөнхий интернетийн урсгал туннелийг дагадаг, харин эдгээр нэрлэсэн локал префиксүүд локал рутераар дамжсан замаа хадгална. Префиксүүд, дараагийн үсрэлт, тэдгээрт хамаарах DNS дагаварыг бичиж тэмдэглээд, жагсаалтыг чиглүүлэлтийн хүснэгт уншихгүйгээр хэн нэгэн шалгаж чадахуйц богино байлга.

Локал болон алсын хүрээний давхцлыг анхаараарай. VPN-ийн ард байгаа зүйлтэй префикс хуваалцдаг хадгалалтын VLAN нь илүү тодорхой маршрут руу шийдэгдэх бөгөөд үүнээс үүсэх зан төлөв нь тогтмол бус мэт санагдах байдлаар төөрөгдүүлдэг. Нэг талыг дахин дугаарлах нь тэр хоёрдмол байдлыг үүрд дибаг хийхээс ихэвчлэн хямд байдаг.

Гэрээг хоёр удаа шалга: нэг удаа туннель асаалттай, нэг удаа унтарсан үед. Хэрэв локал зам зөвхөн тэдгээрийн нэгд нь ажилладаг бол үл хамаарах зүйл хараахан гэрээ болоогүй байна.