Mengapa VPN Terowong Penuh Menyembunyikan VLAN Tempatan Berpenghala

Suis “benarkan rangkaian tempatan” dalam klien VPN kedengaran seperti ia meliputi segala-galanya dalam bangunan. Pada praktiknya ia biasanya menambah beberapa pengecualian alamat persendirian pada laluan lalai terowong dan berhenti di situ. VLAN storan anda masih boleh dicapai hanya jika laluan bagi awalan khusus itu bertahan apabila terowong dipasang, dan pada banyak klien ia tidak bertahan.

Itu persoalan penghalaan, bukan tetapan VPN, dan itu berita baik: ia mempunyai jawapan yang konkrit.

Apa yang sebenarnya diliputi oleh benarkan rangkaian tempatan

Klien melaksanakan pilihan itu secara berbeza. Sesetengah menambah laluan bagi subnet tempat mesin disambungkan, sesetengah menambah julat RFC 1918, dan sebilangan hanya mengecualikan get laluan lalai. Tiada satu pun daripada mereka tahu bahawa penghala pejabat anda juga melayani VLAN storan, segmen makmal atau subnet pencetak, kerana awalan itu tidak berada pada rangkaian yang boleh dilihat oleh klien. Baca dokumentasi klien itu sendiri untuk tingkah laku yang tepat daripada menganggap label itu menggambarkan topologi anda.

Perbezaan ini paling penting dalam reka bentuk terowong penuh, di mana klien sengaja menggantikan laluan lalai supaya semua trafik melalui VPN. Itulah tujuan keseluruhan reka bentuk itu, dan itulah juga yang menyebabkan rangkaian berpenghala tempatan lenyap. Ia tidak pernah diliputi oleh laluan sendiri; ia menumpang pada laluan lalai yang baru sahaja diganti. Klien tidak boleh menghalakan apa yang tidak diketahuinya wujud, dan ia hanya mempelajari awalan yang terpasang pada antara muka sendiri. Segala-galanya yang lain mesti diterangkan oleh seseorang yang tahu topologi.

Laluan bersambung berhenti pada penghala pertama

Stesen kerja pada 192.168.10.20/24 dengan get laluan 192.168.10.1 mendapat laluan bersambung bagi 192.168.10.0/24 secara automatik. VLAN storan pada 192.168.20.0/24 ialah awalan berbeza, boleh dicapai hanya melalui get laluan itu, dan stesen kerja itu tidak mempunyai laluan lain selain laluan lalai. Sebelum terowong dihidupkan, laluan lalai biasa menghantar trafik storan ke 192.168.10.1 dan semuanya berfungsi.

Apabila VPN memasang lalai terowong penuh, paket untuk 192.168.20.1 mengikut lalai baharu masuk ke dalam terowong. Get laluan jauh tidak tahu di mana awalan itu berada, jadi ia menggugurkan paket itu atau menghantarnya ke tempat yang tidak berguna. Tiada apa-apa yang salah dikonfigurasikan pada VLAN storan; laluannya dipinjam, dan pinjaman itu telah ditarik balik.

Godaan adalah untuk mencapai pengecualian luas seperti pasangan laluan /1 atau lalai kedua. Tolaklah. Semakin sempit pengecualian, semakin mudah ia dijelaskan, diaudit dan dibuang apabila rangkaian berubah.

Letakkan pengecualian dalam jadual yang menang

Dalam satu jadual penghalaan, /24 mengalahkan /0 atau /1 melalui padanan awalan terpanjang, jadi laluan khusus ke VLAN storan melalui get laluan tempatan sudah memadai, dengan syarat jadual itu dirujuk sama sekali. Pada Linux bentuk biasa adalah pendek:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Penghalaan dasar merumitkan jaminan itu. Peraturan yang lebih awal boleh menghantar trafik ke jadual yang laluan lalainya sendiri menuju ke dalam terowong, dan jadual utama yang memegang /24 anda kemudian tidak pernah dicapai. Semak peraturan sebelum menganggap laluan itu berwibawa, kerana entri yang kelihatan betul dalam jadual yang salah menjelaskan kegagalan yang kelihatan seperti laluan rosak.

Kemudian jadikan entri itu kekal melalui mekanisme yang disokong klien atau pengurus rangkaian yang memiliki antara muka itu. Laluan yang ditaip pada prompt hilang pada sambungan semula berikutnya, dan laluan yang terikat pada satu get laluan Wi-Fi tidak mudah dibawa ke rangkaian seterusnya yang dikunjungi komputer riba.

Nama dan dasar tidak mengikut laluan

Membaiki laluan memulihkan paket, bukan nama. Jika peranti tempatan diselesaikan melalui penyelesai yang ditolak yang tidak tahu apa-apa tentangnya, lekapannya masih gagal walaupun alamat itu boleh dicapai. Nama tempatan memerlukan susunan DNS tempatan atau terbahagi, dan itu keputusan berasingan daripada pengecualian laluan.

Dasar pula berasingan. Penapis akses tempatan klien VPN boleh sengaja melarang trafik ke julat persendirian, dan laluan tidak mengatasi peraturan itu. Pada rangkaian yang tidak dipercayai, alamat persendirian juga bukan bukti bahawa destinasi itu pelayan storan anda, jadi pengecualian itu haruslah sespesifik laluan itu sendiri.

Kontrak yang boleh diserahkan

Reka bentuk yang siap sepatutnya dibaca sebagai senarai pendek: trafik internet am mengikut terowong, dan awalan tempatan bernama ini mengekalkan laluannya melalui penghala tempatan. Tuliskan awalan, hop seterusnya dan akhiran DNS yang menyertainya, dan pastikan senarai itu cukup pendek supaya seseorang boleh mengesahkannya tanpa membaca jadual penghalaan.

Perhatikan pertindihan antara julat tempatan dan jauh. VLAN storan yang berkongsi awalan dengan sesuatu di belakang VPN akan diselesaikan ke laluan yang lebih khusus, dan tingkah laku yang terhasil mengelirukan dengan cara yang kelihatan berselang-seli. Menomborkan semula satu pihak biasanya lebih murah daripada menyahpepijat kekaburan itu selama-lamanya.

Uji kontrak itu dua kali: sekali dengan terowong hidup dan sekali dengan ia mati. Jika laluan tempatan hanya berfungsi dalam salah satu keadaan itu, pengecualian itu belum menjadi kontrak.