Windows VPN 255.255.255.255 харуулж байна: маск буруу юу?
Цэгээс цэг рүү туннельд хост маск хэвийн. Интерфэйсийн загварыг баталгаажуулж, бүтэлгүйтэж буй хостын замыг уншиж, DNS-ийг үйлчилгээний хандалтаас тусгаарлаарай.
Туннель холбогдож, та адаптерын дэлгэрэнгүйг нээхэд маск 255.255.255.255 харуулна. Оффисын LAN-ын 255.255.255.0-тэй харьцуулахад эвдэрсэн мэт харагдах бөгөөд алдаа ихэвчлэн тэнд эхэлдэг. Цэгээс цэг рүү холболтод хост маск нь локал төгсгөлийн зөв тодорхойлолт бөгөөд алсын сүлжээнүүд холбогдсон дэд сүлжээ биш, зам хэлбэрээр ирдэг. Доорх журам хоёр асуултыг тусгаарладаг тул та зөвхөн харуулсан утгыг засахын тулд ажиллаж байгаа DHCP хүрээг дахин бүтээх шаардлагагүй.
Цэгээс цэг рүү холболт нь Ethernet сегмент биш
Ethernet интерфэйсэд дэд сүлжээний маск хэрэгтэй, учир нь тухайн мужийн бүх хаяг нэг кабельд боломжит хүртээмжтэй. PPP загварын туннель нөгөө төгсгөлд яг нэг түнштэй. Энд өргөн нэвтрүүлгийн домэйн байхгүй, ARP байхгүй бөгөөд локал хаяг мужыг тодорхойлох ямар ч шалтгаан байхгүй.
Тухайн загварын хаягийн хэлэлцээрийг RFC 1332-т тодорхойлсон бөгөөд хоёр төгсгөл өөрсдийн хаягийн талаар хэрхэн тохиролцохыг хамардаг. Түүний хийдэггүй зүйл нь оффисын LAN-ыг клиентэд шууд холбогдсон сүлжээ болгон өгөх юм. Клиент оффис хаана байгааг холболтоор дамжуулан зам суулгаж мэддэг бөгөөд хүртээмжийг яг тэр замууд тодорхойлдог.
Энэ нь таны харж буй бүх маск зөв гэсэн үг биш. Буруу тохируулсан клиент ч хачин хаяглалт үүсгэж болно. Гол нь нарийн: энэ төрлийн адаптер дээр хост маск хүлээгддэг тул өөрөө гэмтлийн баталгаа биш.
1-р алхам: интерфэйсийн загварыг баталгаажуул
Юу гэж байгааг үнэлэхээс өмнө адаптер юу болохыг хар. Тодорхойлолтын мөр драйверыг тодорхойлж, олгосон хаягийн префикс урт нь клиент юу тохиролцсоныг баталгаажуулна:
Get-NetAdapter | Select-Object Name,InterfaceDescription,Status,ifIndex
Get-NetIPAddress -InterfaceAlias 'Corp VPN' | Select-Object IPAddress,PrefixLength,PrefixOrigin
Get-NetIPInterface -InterfaceAlias 'Corp VPN' | Select-Object AddressFamily,ConnectionState,NlMtuГурав дахь команд нь ихэнх маргааныг шийддэг. Бага хамгийн их дамжуулалтын нэгж нь капсуллагдсан холболтын шинж, харин Ethernet-тэй төстэй утга өөр виртуал адаптерын загвар руу заана. Хэрэв тодорхойлолтод PPP эсвэл RAS драйвер дурдагдсан бөгөөд префикс 32 бол та дээр дурдсан загварыг яг харж байгаа тул маскын талаар санаа зовохоо болино.
| Observation | What it means | Reasonable next step |
|---|---|---|
| /32 on a PPP or RAS adapter | Point-to-point endpoint addressing | Look at routes, not the mask |
| /32 on an Ethernet-like adapter | Client chose host addressing deliberately | Confirm against the server's push policy |
| Mask differs from the office LAN | Usually irrelevant to reachability | Test the destination instead |
2-р алхам: бүтэлгүйтэж буй очих газрын замыг унш
Хүртээмж нь очих газраар тодорхойлогддог бөгөөд нэг холбогдсон интерфэйс энэ талаар юу ч хэлэхгүй. Замын хүснэгтээс хэрэглэгчийн үнэхээр хүрэхийг оролдож буй хаягийг шууд асуу:
Get-NetRoute -InterfaceAlias 'Corp VPN' | Select-Object DestinationPrefix,NextHop,RouteMetric
Find-NetRoute -RemoteIPAddress 10.24.6.15
route print -4Find-NetRoute нь шууд хариулт: систем тухайн очих газарт ашиглах интерфэйс болон эх хаягийг нэрлэнэ. Хэрэв туннелийг буцаавал тэр хост руу хөдөлгөөн туннелээр дамжина, маск хэзээ ч асуудал болоогүй.
Хэрэв физик адаптерыг буцаавал хоёр боломжит замыг болон тэдгээрийн хэмжүүрийг харьцуул. Илүү тодорхой локал зам, өөр клиентээс үлдсэн бичлэг эсвэл физик зам дээрх доогуур хэмжүүр нь өргөн туннелийн замаас давамгайлна. Харагдах үр дүн нь бусад бүх зүйл ажиллаж байхад хүртээмжгүй нөөц юм. Урт префиксүүд үргэлж ялдаг тул ялагч нь ихэвчлэн хэдэн сарын өмнө хэн нэгэн нэмээд мартсан хост зам байдаг.
Энд хоёр чиглэлийг шалгаарай. Серверийн тал руу зам шаардлагатай боловч хангалтгүй, учир нь хариулт ч туннелээр буцаж ирэх ёстой. Нэг дотоод хост ажиллаж, нөгөө нь ажиллахгүй бол ялгаа нь ихэвчлэн адаптерын тохиргоонд биш, энэ хүснэгтэд байдаг.
3-р алхам: нэрийн шийдвэрлэлтийг үйлчилгээний хандалтаас тусгаарла
Хуваалцсан хавтас нээж чадахгүй програмын алдаа нь хоёр огт өөр үе шатын аль нэгэнд гарч болно. Нэрийг шийдээд дараа нь хаягт хүр. Эхнийх нь бүтэлгүйтэж, хоёр дахь нь ажиллавал туннель хэвийн, шийдэгч нь биш:
Resolve-DnsName files.corp.example.internal
Get-DnsClientServerAddress -InterfaceAlias 'Corp VPN'
Test-NetConnection -ComputerName 10.24.6.15 -Port 445Амжилттай хаягийн тест нь бүтэлгүйтсэн нэрийн тесттэй хамт асуудлыг шийдвэрлэлтэд байршуулж, хоёр дахь команд нь туннелийн интерфэйс ер нь сервер авсныг харуулна. Олон клиент DNS-ийг туннелийн тохиргооны нэг хэсэг болгон түлхдэг бөгөөд тэдгээр түлхсэн сонголтыг үл тоомсорлосон профайл нь машиныг хувийн бүсийг хардаггүй шийдэгчтэй үлдээнэ.
Ажиллаж буй хаягийг байнгын засвар гэж бүү үз. Хаягаар холбогдох нь нэрийн шийдвэрлэлтийг тойрч, програмын өөрөөр хийх байсан серверийн таних тэмдгийн шалгалтыг сулруулж болно. Энэ бол түр шийдэл дүр эсгэсэн аюулгүй байдлын регресс юм. Үүнийг гэмтлийг байршуулахад ашиглаад, дараа нь шийдвэрлэлтийг зас.
Буцаах: харуулсан утгын улмаас DHCP-г дахин бүү бүтээ
Хэрэв хаягийн үйлчилгээг өөрчилж эхэлсэн бол зогсоод, өөрчилсөн зүйлийн аль нэг нь ачаа дааж байгаа эсэхийг шалга. Хүрээг дахин үүсгэх, түрээсийг дахин олгох эсвэл санг зөөх нь бусад клиентээс хамааралтай төлөвийг өөрчилдөг бөгөөд эдгээрийн аль нь ч цэгээс цэг рүү адаптер дээрх хост маскаар зөвтгөгдөхгүй.
Get-DnsClientServerAddress -InterfaceAlias 'Corp VPN'
Find-NetRoute -RemoteIPAddress 10.24.6.15
Test-NetConnection -ComputerName files.corp.example.internal -Port 445Эдгээрийг зорилтот өөрчлөлт бүрийн дараа ажиллуулж, өмнөх ажиллагаатай харьцуул. Ашигтай үр дүн нь нөөц рүү баримтжуулсан зам бөгөөд маск нь оффисын LAN-тай төстэй адаптер биш.
Дараа нь маск үнэндээ юу гэсэн үг байсныг бичиж үлдээ, учир нь дараагийн хүн мөн ижил харилцах цонхыг нээж, мөн ижил буруу дүгнэлтэд хүрнэ. Профайлын тэмдэглэлд нэг өгүүлбэр, туннель нь цэгээс цэг рүү бөгөөд алсын дэд сүлжээнүүд зам хэлбэрээр ирдэг гэж хэлсэн нь дараагийн удаа бүх мөрдөн шалгалтыг хэмнэнэ.