VPN Windows дээр локал LAN-ыг хаадаг: зам эсвэл клиентийн бодлого?

Өөрийн ширээн дээрх принтер, NAS эсвэл хөгжүүлэлтийн машин ажлын VPN холбогдсон мөчид хариу өгөхөө болино. Заримдаа нэг замын команд үүнийг секундын дотор засдаг; заримдаа мөн зам зөв байсан ч пакетууд алга болсоор байдаг нь та ижил төстэй шинжтэй өөр асуудалтай тулгарч байгааг илтгэнэ. Шийдвэр гурван асуулт руу шилждэг бөгөөд тэдгээрийг буруу дарааллаар тавих нь хүмүүс бүтэн оройг замуудыг устгаж дахин нэмэхэд зарцуулах шалтгаан юм.

Аливаа командын өмнөх гурван асуулт

Нэгд: локал префиксэд бичлэг байгаа бөгөөд энэ нь физик адаптер руу зааж байна уу? Хоёрт: холбогдох үед клиент гарцаас локал сүлжээний зөвшөөрөл эсвэл татгалзал авдаг уу? Гуравт: танд зөвхөн LAN руу гарах хандалт хэрэгтэй юу, эсвэл интернэт дэх ямар нэгэн зүйл ч таны машин дээр ажиллаж буй үйлчилгээнд хүрэх ёстой юу?

Эхний асуулт нь чиглүүлэлтийн алдааг шүүлтийн алдаанаас ялгадаг. Хоёр дахь нь замын засварыг ерөөсөө ажиллуулахыг зөвшөөрсөн эсэхийг хэлнэ. Гурав дахь нь засварыг өөрчилнө: зам нь гарч буй урсгалыг засдаг бол хүрэх боломжгүй орж буй үйлчилгээ нь ихэвчлэн сонсогчийн холболт болон буцах замын асуудал бөгөөд замыг улам дордуулдаг.

Асуулт нэг: зам, шүүлт эсвэл нэр

Ямар нэгэн зүйл нэмэхийн өмнө хүснэгтийг уншина уу. Интерфейсийн индекс чухал, учир нь доорх замын команд бүр түүнд бэхлэгдсэн:

route print -4
Get-NetRoute -DestinationPrefix 192.168.1.0/24 | Format-Table InterfaceIndex,NextHop,RouteMetric

Шууд холбогдсон дэд сүлжээ нь туннель асаалттай байсан ч ихэвчлэн on-link замыг хадгалдаг тул бичлэг байсаар байтал урсгал бүтэлгүйтэж болно. Энэ хослол нь чиглүүлэлтийн дараа ажилладаг шүүлтийн гарын үсэг бөгөөд илүү тодорхой хоёр дахь зам юу ч өөрчлөхгүй тохиолдол юм.

Хаяг болон нэрээр тус тусад нь туршина уу. ping 192.168.1.50 хариу өгч, net view 192.168.1.50 өгөхгүй бол чиглүүлэлтийн хүснэгт хэзээ ч асуудал байгаагүй: туннель резолверыг сольсон бөгөөд локал нэр цаашид шийдэгдэхгүй. Үүний тулд зам нэмэх нь дэмий ажил.

Асуулт хоёр: гарц локал LAN-д хандахыг зөвшөөрдөг үү?

Арилжааны клиент зөвхөн замуудыг суулгадаггүй. Тэр холбогдох үед бодлого авдаг бөгөөд тухайн бодлого локал сүлжээнд тодорхой зөвшөөрөл агуулж болно. Cisco IPsec-ийн байршуулалтад группийн бодлого split-tunneling тохиргоо болон локал LAN-д хандах тусдаа флагийг агуулдаг; клиент дэх чагтлагдсан нүд нь гарцаас татгалзаж болох хүсэлт юм. AnyConnect дээр профайл нь split-ийн оруулах, хасах жагсаалт болон мөн зөвшөөрлийг удирддаг. Windows RRAS дээр эквивалентууд нь профайлын анхдагч гарцын сонголт болон серверийн олгосон статик замууд юм.

Флаг унтраалттай үед баримтжуулсан зан төлөв нь хүчинтэй, илүү тодорхой зам байсан ч клиент шууд холбогдсон дэд сүлжээ рүү урсгалыг хаадаг. Тиймээс клиентэд хамаарахгүй замууд нэмснээс хойш хэдхэн секундын дараа алга болж болно: клиент өөрт нь барих гэж хэлсэн төлөвийг дахин бүтээж байгаа бөгөөд таны эсрэг тэмцэхгүй байна.

Клиентийн лог холбогдох үеийн шийдвэрийг бүртгэдэг бөгөөд түүнийг унших нь машин дээрх аливаа туршилтаас хурдан юм. Лог локал хандалт хаагдсан гэж хэлбэл зогсоорой: командын мөрийн ямар ч засвар үүнийг давж гарахгүй бөгөөд үлдсэн зам нь бодлогыг өөрчлөх, туннелээр нөөцөд хүрэх, эсвэл клиентийг виртуал машин дотор байлгаж хост машиныг локал сүлжээнд үлдээх юм.

Асуулт гурав: танд ямар чиглэл хэрэгтэй вэ?

Ойролцоох төхөөрөмж рүү гарах урсгал нь чиглүүлэлтийн асуулт юм. LAN префиксыг локал гарц руу туннелийн анхдагч замыг даван туулах хангалттай бага хэмжүүрээр чиглүүлнэ үү:

route add 192.168.1.0 mask 255.255.255.0 192.168.1.1 metric 1 if 12
route add 192.168.1.50 mask 255.255.255.255 192.168.1.1 -p

Хоёр дахь хэлбэр нь нэг төхөөрөмжийг бэхэлдэг, нэг хаяг бүхэл шаардлага болсон үед таны хүсэх зүйл энэ юм. netsh-ийн эквивалент мөн шийдвэрийг индексийн оронд интерфейсийн нэрээр бүртгэдэг:

netsh interface ipv4 add route prefix=192.168.1.0/24 interface=12 nexthop=192.168.1.1 store=persistent

Хаяг болон маск тохирохгүй үед замын командууд Параметр буруу байна гэсэн алдаатай бүтэлгүйтдэг, жишээ нь /24 масктай хост хаяг. Дэд сүлжээний замд сүлжээний хаяг, нэг хостод хост маск хэрэглэнэ үү.

Орж буй урсгал өөр. Нэг машины VNC эсвэл SSH сервер нь орж буй холболтын хариу VPN гарцаар гарч хэзээ ч буцаж ирэхгүй үед хүрэх боломжгүй болдог. Замуудыг хүрэхийн өмнө үйлчилгээ юу сонсож байгааг шалгана уу:

netstat -ano | findstr :5900

Нэг тодорхой хаягт холбогдсон сонсогч нөгөө интерфейс дээр хариу өгөхгүй. Үүнийг бүх интерфейсэд холбох нь санаатай шийдвэр бөгөөд таны итгэдэг сүлжээнд хязгаарлагдсан галт хананы дүрэмтэй хамт гаргадаг. Зөвхөн үүний дараа замын засвар буцах замыг сэргээдэг.

Тохирох хамгийн бага өөрчлөлтийг хэрэглэнэ үү

Өөр нэг нийтлэг алхам нь IPv4-ийн нэмэлт шинж чанаруудад «Алсын сүлжээнд анхдагч гарц ашиглах»-ын чагтыг авах юм. Энэ нь интернэтийн урсгалыг локал байлгадаг ч нэгэн зэрэг хоёр зүйл хийдэг: VPN анхдагч зам байхаа болино, клиент алсын сүлжээний замуудыг multicast-ыг оролцуулан авахаа болино. Чагтыг авбал сервер клиент бүрд хэрэгтэй тодорхой алсын префиксүүдийг түлхэхгүй л бол алсын LAN алга болно.

Энэ тэгш бус байдал ажлын дарааллыг тодорхойлдог. Алсын тал бүрэн хүртээмжтэй хэвээр байх ёстой бол серверээс алсын дэд сүлжээг түлхэж, локал анхдагчийг хөндөхгүй. Хэрэв серверийг өөрчилж чадахгүй бол туннелийн олгосон хаягаар алсын префикс рүү байнгын зам нэмж, route print-оор префикс VPN интерфейс рүү, анхдагч нь физик гарц руу зааж байгаа эсэхийг шалгана уу.

Дараа нь засвар дахин холбогдсоны дараа ч үлдэж байгаа эсэхийг баталгаажуулна уу, учир нь байнгын бус замууд адаптертай хамт үхдэг бөгөөд холболт бүрийн дараа ажилладаг скрипт тэдэнд зориулсан шударга газар юм. Нэг сесс дотор нэг локал төхөөрөмж болон нэг алсын нөөцийг туршиж, салгаж, дахин холбогдож, дахин туршина уу. Зам зөв харагдаж байтал локал төхөөрөмж бүтэлгүйтсээр байвал хоёр дахь асуулт руу буцаж очно уу: клиент шүүж байна, хариулт нь бодлогыг өөрчлөх бөгөөд хоёр дахь өрсөлдөгч зам биш.