Beri Hos LAN Laluan Pulang VPN dengan Pilihan 121 DHCP

Klien VPN jauh bersambung, pelayan LAN menjawab, dan balasan keluar melalui penghala internet biasa lalu mati di situ. Satu pelayan boleh dibaiki dengan laluan statik, tetapi satu subnet penuh lebih baik dikendalikan di tempat mereka sudah menerima konfigurasi rangkaian mereka. Pilihan 121 DHCPv4 mengedarkan tepat laluan destinasi seperti itu, dan itulah bahagian yang orang biasanya silap apabila mereka terlupa laluan lalai. Gejalanya ialah trafik sehala: permintaan tiba dan balasan lenyap.

Namakan tiga alamat itu dahulu

Ambil LAN konkrit: 192.168.50.0/24 dengan penghala lalai biasa di 192.168.50.1 dan gerbang VPN berasingan di 192.168.50.2. Klien jauh yang disahkan menduduki 10.90.0.0/24.

Laluan yang diperlukan setiap hos peserta ialah 10.90.0.0/24 via 192.168.50.2. Destinasinya ialah kolam klien, dan hop seterusnya ialah alamat LAN gerbang itu, bukan alamat terowongnya.

Kodkan sebagai laluan statik tanpa kelas

Pilihan 121 membawa pasangan awalan dan hop seterusnya, dan RFC 3442 mentakrifkan kedua-dua pengekodan dan tingkah laku klien yang menyusul. Bagi instans dnsmasq sedia ada yang hanya melayani LAN contoh ini, bentuk konfigurasinya ialah:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Itu serpihan, bukan perkhidmatan DHCP baharu. Pada pelayan yang mengendalikan beberapa segmen, hadkan pilihan itu dengan teg atau dasar rangkaian yang sudah anda gunakan. Simpan konfigurasi sebelumnya, kerana mengembalikannya bermakna satu lagi pembaharuan pajakan, bukan but semula.

Jangan hilang laluan lalai

Inilah perangkapnya. Klien yang menerima pilihan 121 mesti mengabaikan pilihan Router biasa, jadi mengiklankan hanya laluan kolam VPN boleh membiarkan hos itu tanpa laluan lalai sama sekali. Mesin itu masih kelihatan dikonfigurasi dan diam-diam kehilangan internet. Pengguna menggambarkannya sebagai rangkaian mati sedangkan setiap antara muka hidup.

Sertakan laluan lalai yang dimaksudkan dalam senarai yang sama, seperti yang dilakukan serpihan di atas. Kekalkan juga pilihan Router biasa, untuk klien yang tidak melaksanakan laluan tanpa kelas; pengendalian pilihan pelayan itu sendiri yang menentukan apa dihantar kepada siapa.

Periksa apa yang akan diterima klien

Hos dengan alamat manual tidak pernah mengambil ini, kerana ia tidak meminta pajakan. Sokongan klien juga berbeza-beza, jadi uji pada sistem pengendalian yang benar-benar anda jalankan dan bukannya menganggap setiap peranti menghormati pilihan 121. Sahkan dengan pemilik pelayan tersebut yang mana beralamat statik. Hos itu memerlukan entri laluan sendiri atau mereka tidak akan menyertai.

Perkhidmatan DHCP terurus ialah had lain. Sesetengah rangkaian awan tidak membenarkan pentadbir menerbitkan pilihan sewenang-wenangnya, dan pelayan DHCP pesaing pada segmen yang sama lebih buruk daripada tiada pilihan sama sekali.

Sahkan pajakan, kemudian carian

Minta pemilik DHCP menggunakan perubahan itu, kemudian perbaharui pajakan pada klien. Pajakan sedia ada mengekalkan konfigurasi lama sehingga diperbaharui, jadi hasil serta-merta tidak dijamin.

Pada klien Linux, baca laluan sebenar dan sahkan kedua-dua entri:

ip -4 route
ip -4 route get 10.90.0.23

Carian kontekstual sepatutnya menunjukkan laluan kolam melalui 192.168.50.2 dan laluan lalai melalui 192.168.50.1. Jika laluan lalai tiada, anda telah menghasilkan semula perangkap di atas.

Kemudian uji pertukaran sebenar

Pengedaran laluan bukan seluruh jalan. Gerbang berasingan masih memerlukan penghantaran, pemilikan rakan jauh dan dasar akses yang membenarkan pelayan, dan DHCP tidak mengesahkan sesiapa.

Akhir sekali, simpan pelan pembuangan. Laluan statik yang dipelajari tidak menarik dirinya sendiri apabila VPN jatuh, jadi hop seterusnya yang lapuk boleh menjadikan awalan itu lohong hitam jauh selepas terowong hilang.