VPN адаптер /32 харуулж байна: энэ нь ганц очих газар гэсэн үг биш

VPN адаптер дээрх 255.255.255.255 маск нь клиентийн өөрийн хаяг бөгөөд хүрэх боломжтой хостүүдийн хязгаар биш. Маршрут, гарцын хүрээ, буцах замыг тус тусад нь уншина уу.

Адаптерууд 255.255.255.255 харуулдаг ба VPN яг нэг хаяг руу хүрдэг гэсэн дүгнэлт их гардаг. Тэр уншилт нь клиентийн өөрийн хаягийг туннелээр маршрутлагдах очих газруудын олонлогтой хольдог. Цэгээс цэг эсвэл маршрутлагдсан интерфэйс дээр эдгээр нь хоёр өөр объект бөгөөд зөвхөн нэг нь хүрэх боломжийг хязгаарладаг. Хүмүүсийн Ethernet дээр сурсан дэд сүлжээний масктай төстэй учраас энэ домог оршсоор байна.

Домог: хост маск нь хүрч болох ганц хост гэсэн үг

/32 хуваарилалт нь интерфэйст холбоосын энэ төгсгөлийн хаяг аль болохыг хэлдэг ба цэгээс цэг холбоос дээр энэ нь түүний бүх утга юм. Хамтрагчийн хаяг нь тусдаа талбар бөгөөд хамтрагчийн цаана юу байгааг хэлдэг маршрутууд дахин тусдаа юм. Маск дотор алслагдсан сүлжээг дүрсэлсэн зүйл байхгүй, учир нь алслагдсан сүлжээг дүрсэлдэг газар нь маск биш. Үүнийг хүрэх хязгаар гэж унших нь өөрийн байшингийн дугаарыг зочлохыг зөвшөөрсөн бүх хаягийн жагсаалт гэж уншихтай адил.

Энэ төөрөгдөл жинхэнэ үндэстэй: Ethernet дээр хост маск нь тэр сегмент дэх ганц хаягыг үнэхээр илэрхийлдэг байсан. Туннель нь Ethernet сегмент биш бөгөөд түүгээр юу нэвтрэхийг маск биш, клиентийн маршрутын хүснэгт шийддэг. Тиймээс ижил /32 бүхэл өгөгдлийн төвийн урд зогсож чадна.

Хаяг болон маршрутыг тусдаа объект гэж уншина уу

Интерфэйс болон хүснэгтийг хамт хэвлээд, дараа нь тэдгээрийг хоёр асуултын хоёр хариулт гэж уншина уу. Хаяг нь энэ төгсгөл хэн болохыг хариулна; маршрутууд нь урсгал хааша явж болохыг хариулна. Гурав дахь асуулт буюу гарц ямар очих газрыг зөвшөөрдөг нь клиент дээр огт харагдахгүй. iproute2-ын хаягийн лавлагаа нь локал хаяг, хамтрагч, префикс маршрутын талбаруудыг яг энэ шалтгаанаар тус тусад нь тодорхойлдог.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows дээр ч хаягийн жагсаалт болон маршрутын хүснэгтийн хооронд ижил хуваагдал байдаг бөгөөд тодорхой очих газарт аль нь ялахыг харах хамгийн хурдан арга нь хайлтын команд юм. Хайлт туннелийн интерфэйсийг буцаавал клиент пакетыг тийш илгээнэ. Хэрэв энэ нь физик адаптерыг буцаавал клиент VPN-ээс хэзээ ч асуухгүй бөгөөд серверийн талын ямар ч зөвшөөрөл үүнийг өөрчлөхгүй. Танд үнэхээр хэрэгтэй очих газрыг шалгана уу, ерөнхий нийтийн хаяг биш.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Хайлт буруу интерфэйс рүү зааж байвал зогсоно уу. Энэ нь клиентийн маршрутын асуудал бөгөөд клиент дээр засагдана.

Маскийг өргөтгөх нь яагаад ихэвчлэн илүү муу болгодог

Хуваарилалтыг /24 болгож өөрчлөх нь оффисын LAN-тай төстэй болгохын тулд холбоос дээр префикс үүсгэж болно: цөм одоо бүх /24 нь туннелийн интерфэйст шууд холбогдсон гэж итгэдэг. Гарцаар маршрутлагдах ёстой хаягууд руу чиглэсэн урсгал дараа нь холбоос дээр хөрш байгаа мэт илгээгддэг. Үр дүн нь серверийн доголдол мэт харагдах хар нүх юм.

Энэ нь жинхэнэ асуудлыг буюу дутуу маршрут эсвэл гарц дээрх дутуу зөвшөөрлийг бас нуудаг. Аль нэг ч өргөн маск үүсгэдэггүй бөгөөд хоёулаа өөрчлөлтийг даван туулдаг. Загвар интерфэйс дээр илүү том префикс шаарддаг бол энэ нь хэрэглэж буй интерфэйсийн загварын шийдвэр бөгөөд баримт бичгийг гартаа барьж гаргана. Маскийг өөр бүтээгдэхүүний дэлгэцийн зурагнаас хуулах нь тэр шийдвэр биш.

Алслагдсан префиксийн маршрут байхгүй бол түүний хангамжийг засна уу. Хэрэв байгаа бөгөөд холболт хараахан татгалзагдаж байвал маск хэзээ ч онош байгаагүй.

Маршрут зөв боловч урсгал хараахан бүтэлгүйтэх үед

Зөв маршрут нь клиент пакетыг илгээхийг л батална. Гарц одоо ч очих газрыг хүлээж авах ёстой, олгосон хаягт буцах зам байх ёстой, үйлчилгээ урсгалыг зөвшөөрөх ёстой. Энэ гурвыг тусад нь шалгана уу: клиент дээрх хайлт, гарцын зөвшөөрсөн хүрээ, шаардлагатай нэг сервер рүү хийх хүсэлт. Гурвуулаа бэлэн болохоос өмнө баталгаажуулалт амжилттай болох нь хэвийн бөгөөд ийм учраас холбогдсон клиент хаана ч хүрч чадахгүй байж болно.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Сүлжээний объект болон бүлгийн зөвшөөрлийг төхөөрөмжөөр удирддаг үйлчилгээнд эзэнтэй нь хамт байлгана уу. Клиентэд хаашаа хүрэхийг хэлэх болон түүнд юу хэрэглэхийг зөвшөөрсөн нь өөр тохиргоо бөгөөд ихэвчлэн өөр дэлгэц дээр байдаг. Нэгийг өөрчлөөд нөгөөг шалгах нь тасалбарын хоёр багийн хооронд харайх арга юм.

Тэтгэвэрт гарах ёстой домог бол маск нь хүрэх хязгаар гэдэг. Хаяг, маршрут, гарцын бодлогыг гурван тусдаа баримт гэж уншина уу, тэгвэл /32 нь хязгаарлалт мэт харагдахаа болиод энгийн туннелийн хуваарилалт мэт харагдаж эхэлнэ.

Холбоотой нийтлэлүүд