संपूर्ण-टनेल VPN तुमचे राउटेड स्थानिक VLAN का लपवते

VPN क्लायंटमधील “स्थानिक नेटवर्कला अनुमती द्या” हा स्विच इमारतीतील सर्व काही व्यापतो असे वाटते। प्रत्यक्षात तो सहसा टनेलच्या डीफॉल्ट मार्गावर काही खाजगी पत्त्यांचे अपवाद जोडतो आणि तिथेच थांबतो। तुमचे स्टोरेज VLAN तेव्हाच पोहोचण्यायोग्य राहते जेव्हा त्या विशिष्ट उपसर्गाचा मार्ग टनेल सुरू होताना टिकून राहतो, आणि अनेक क्लायंटवर तो टिकत नाही।

ती VPN सेटिंग नसून मार्गनिर्देशनाचा प्रश्न आहे, आणि ही चांगली बातमी आहे: त्याचे ठोस उत्तर आहे।

“स्थानिक नेटवर्कला अनुमती द्या” प्रत्यक्षात काय व्यापते

क्लायंट हा पर्याय वेगवेगळ्या पद्धतीने लागू करतात। काही मशीन ज्या सबनेटशी जोडलेली आहे त्या सबनेटसाठी मार्ग जोडतात, काही RFC 1918 श्रेणी जोडतात, आणि काही फक्त डीफॉल्ट गेटवे वगळतात। तुमचा ऑफिस राउटर स्टोरेज VLAN, लॅब विभाग किंवा प्रिंटर सबनेटलाही सेवा देतो हे त्यांपैकी कोणालाही माहीत नसते, कारण ते उपसर्ग क्लायंटला दिसणाऱ्या नेटवर्कवर नाहीत। लेबल तुमची टोपोलॉजी वर्णन करते असे गृहीत धरण्याऐवजी नेमके वर्तन क्लायंटच्या स्वतःच्या दस्तऐवजातून वाचा।

हा फरक संपूर्ण-टनेल रचनेत सर्वात जास्त महत्त्वाचा आहे, जिथे क्लायंट सर्व रहदारी VPN मधून जावी म्हणून डीफॉल्ट मार्ग जाणीवपूर्वक बदलतो। हाच त्या रचनेचा मुख्य उद्देश आहे, आणि स्थानिक राउटेड नेटवर्क अदृश्य होण्याचे कारणही तेच आहे। त्यांना कधीही स्वतःचा मार्ग नव्हता; ते नुकत्याच बदललेल्या डीफॉल्ट मार्गावर स्वार होते। क्लायंटला ज्याचे अस्तित्व माहीत नाही ते मार्गस्थ करता येत नाही, आणि तो फक्त स्वतःच्या इंटरफेसशी जोडलेले उपसर्ग शिकतो। बाकी सर्व काही टोपोलॉजी जाणणाऱ्या कोणीतरी वर्णन केले पाहिजे।

जोडलेले मार्ग पहिल्या राउटरवर थांबतात

192.168.10.1 गेटवे असलेल्या 192.168.10.20/24 वर्कस्टेशनला 192.168.10.0/24 साठी जोडलेला मार्ग आपोआप मिळतो। 192.168.20.0/24 वरचे स्टोरेज VLAN हा वेगळा उपसर्ग आहे, तो फक्त त्या गेटवेमार्गेच पोहोचण्यायोग्य आहे, आणि वर्कस्टेशनकडे डीफॉल्टशिवाय त्याचा मार्ग नाही। टनेल सुरू होण्यापूर्वी सामान्य डीफॉल्ट स्टोरेज रहदारी 192.168.10.1 कडे पाठवतो आणि सर्व काही चालते।

VPN संपूर्ण-टनेल डीफॉल्ट बसवल्यावर 192.168.20.1 साठीचे पॅकेट नवीन डीफॉल्टच्या मागे टनेलमध्ये जातात। तो उपसर्ग कुठे आहे हे दूरच्या गेटवेला माहीत नसते, म्हणून तो ते पॅकेट टाकून देतो किंवा निरुपयोगी ठिकाणी पाठवतो। स्टोरेज VLAN वर काहीही चुकीचे संरचित नव्हते; त्याचा मार्ग उसनवारीने आलेला होता आणि ती उसनवारी परत मागवली गेली।

/1 मार्गाची जोडी किंवा दुसरा डीफॉल्ट यासारखा व्यापक अपवाद वापरण्याचा मोह होतो। त्याला प्रतिकार करा। अपवाद जितका बारीक, तितका तो समजावणे, तपासणे आणि नेटवर्क बदलल्यावर काढून टाकणे सोपे असते।

अपवाद ज्या तक्त्यात जिंकतो त्या तक्त्यात ठेवा

एका मार्गनिर्देशन तक्त्यात /24 हा /0 किंवा /1 ला सर्वात लांब उपसर्ग जुळणीने हरवतो, म्हणून स्थानिक गेटवेमार्गे स्टोरेज VLAN कडे जाणारा विशिष्ट मार्ग पुरेसा आहे, बशर्ते तक्ता कधी तरी वापरला जात असेल। लिनक्सवर सामान्य रूप छोटे आहे:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

धोरण-आधारित मार्गनिर्देशन ही हमी गुंतागुंतीची करते। आधीचा नियम रहदारी अशा तक्त्याकडे पाठवू शकतो ज्याचा स्वतःचा डीफॉल्ट मार्ग टनेलमध्ये जातो, आणि मग तुमचे /24 असलेला मुख्य तक्ता कधीच गाठला जात नाही। मार्ग अधिकृत आहे असे गृहीत धरण्यापूर्वी नियम तपासा, कारण चुकीच्या तक्त्यातील बरोबर दिसणारी नोंद तुटलेल्या मार्गासारखे दिसणारे अपयश स्पष्ट करते।

मग क्लायंटच्या समर्थित यंत्रणेद्वारे किंवा इंटरफेसचा मालक असलेल्या नेटवर्क मॅनेजरद्वारे नोंद टिकाऊ करा। प्रॉम्प्टवर टाइप केलेला मार्ग पुढील पुनर्जोडणीला नाहीसा होतो, आणि एका Wi-Fi गेटवेशी बांधलेला मार्ग लॅपटॉप पुढील नेटवर्कवर गेल्यावर तिथे चालत नाही।

नावे आणि धोरण मार्गांच्या मागे जात नाहीत

मार्ग दुरुस्त केल्याने पॅकेट परत येतात, नावे नाहीत। स्थानिक उपकरणे अशा रिझॉल्व्हरमधून सोडवली जात असतील ज्याला त्यांच्याविषयी काहीही माहीत नाही, तर पत्ता पोहोचण्यायोग्य असूनही माउंट अजूनही अयशस्वी होते। स्थानिक नावांना स्थानिक किंवा विभाजित DNS व्यवस्था लागते, आणि तो मार्ग-अपवादापेक्षा वेगळा निर्णय आहे।

धोरण पुन्हा वेगळे आहे। VPN क्लायंटचा स्थानिक-प्रवेश गाळणी खाजगी श्रेणींकडील रहदारी जाणीवपूर्वक प्रतिबंधित करू शकतो, आणि मार्ग त्या नियमाला मात करत नाही। अविश्वसनीय नेटवर्कवर खाजगी पत्ता हा गंतव्य तुमचा स्टोरेज सर्व्हर आहे याचा पुरावा नसतो, म्हणून अपवाद मार्गाइतकाच विशिष्ट असावा।

हस्तांतरित करता येणारा करार

पूर्ण झालेली रचना एका छोट्या यादीसारखी वाचली पाहिजे: सर्वसाधारण इंटरनेट रहदारी टनेलच्या मागे जाते, आणि हे नामनिर्देशित स्थानिक उपसर्ग स्थानिक राउटरमार्गे आपला मार्ग टिकवतात। उपसर्ग, पुढील हॉप आणि त्यांच्यासोबत जाणारा DNS प्रत्यय लिहून ठेवा, आणि यादी इतकी छोटी ठेवा की कोणीही मार्गनिर्देशन तक्ता न वाचता ती पडताळू शकेल।

स्थानिक आणि दूरच्या श्रेणींमधील ओव्हरलॅपकडे लक्ष द्या। VPN च्या मागील एखाद्याशी उपसर्ग सामायिक करणारे स्टोरेज VLAN ज्या मार्ग अधिक विशिष्ट असेल त्याकडे सोडवले जाईल, आणि त्यातून निर्माण होणारे वर्तन अधूनमधून दिसणाऱ्यासारखे गोंधळात टाकणारे असते। एका बाजूला पुन्हा क्रमांक देणे हे ती अस्पष्टता कायमस्वरूपी डीबग करण्यापेक्षा सहसा स्वस्त पडते।

करार दोन वेळा तपासा: एकदा टनेल सुरू असताना आणि एकदा बंद असताना। स्थानिक मार्ग त्यांपैकी फक्त एका स्थितीत चालत असेल, तर अपवाद अजून करार झालेला नाही।