Alamat L2TP itu ialah IPCP, bukan pajakan DHCP di LAN

Sambungan naik dan penyesuai menunjukkan alamat dalam julat pejabat, jadi kesimpulan semula jadi ialah VPN memberi anda alamat LAN dan dengan itu meletakkan anda di LAN. Kedua-dua bahagian itu tidak sepenuhnya betul. L2TP membawa sesi PPP, dan PPP merundingkan alamat IPv4 dalaman dengan IPCP. Alamat itu ialah parameter sesi yang dipersetujui antara dua pihak, bukan pajakan yang dikeluarkan oleh pelayan DHCP pejabat, dan memilikinya tidak menjadikan anda jiran pada wayar pejabat.

Dua alamat dalam satu sambungan

Terdapat dua rundingan bebas dalam sambungan L2TP. Yang luar membina laluan terlindung antara peranti anda dan titik akhir VPN melalui mana-mana rangkaian yang anda sudah miliki. Yang dalam ialah sesi PPP, dan di situlah alamat sesi anda dan alamat pihak lawan dipersetujui. Trafik internet boleh keluar sepenuhnya di bawah alamat ketiga, alamat awam titik akhir, sebab itulah halaman semakan VPN dan alamat penyesuai jarang sepadan.

Mengasingkan ketiga-tiga peranan itu menjawab kebanyakan soalan yang orang bawa ke lapisan ini. Nombor peribadi pada antara muka VPN adalah normal dan dijangka. Ia tidak berkata apa-apa tentang sama ada titik akhir menukar jalan keluar awam anda, dan ia sendiri tidak menentukan destinasi mana yang dicapai oleh trafik anda.

Apa sebenarnya yang IPCP lakukan

IPCP ialah protokol kawalan IPv4 untuk PPP. Setiap pihak menghantar mesej Configure-Request yang menerangkan pilihan yang dikehendaki, dan pilihan alamat ialah salah satunya. Klien yang belum mempunyai alamat biasanya bertanya dengan 0.0.0.0, dan pelayan membalas dengan Configure-Nak yang membawa alamat yang dikehendakinya untuk digunakan oleh klien. Klien kemudian meminta alamat itu, dan sesi naik dengan alamat setempat dan alamat jauh.

Pertukaran itu didokumenkan dalam spesifikasi PPP dan IPCP, dan ia menerangkan butiran yang kelihatan seperti pepijat: alamat dipilih oleh pelayan mengikut dasarnya sendiri, yang mungkin merupakan kolam, tetapan setiap pengguna atau alamat terikat kepada identiti yang disahkan. Apabila kolam habis, atau dasar bercanggah dengan permintaan, pengesahan boleh berjaya sementara rundingan alamat gagal, dan klien melaporkan sambungan yang tidak pernah stabil.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Baris log pppd yang menyebut alamat setempat dan alamat jauh ialah penghujung berjaya rundingan itu. Ketiadaannya, bersebelahan pengesahan yang berjaya, menunjuk ke peringkat alamat dan bukan ke kelayakan.

Mengapa LAN tidak boleh membalas anda

Alamat daripada julat sisi jauh menimbulkan jangkaan bahawa hos pada LAN itu boleh sampai kepada anda, dan kebanyakannya tidak boleh melainkan pelayan menghalakan alamat sesi anda kembali ke terowong. Berada di dalam kolam ialah kenyataan tentang peruntukan, bukan tentang topologi. Pelayan fail pejabat tiada laluan ke alamat sesi anda melainkan pelayan VPN memajukannya, dan ia mungkin tidak dibenarkan walaupun ia berbuat demikian.

Itulah sebabnya julat yang bertindih menyebabkan masalah yang tidak setimpal dengan saiznya yang kelihatan. Jika kolam bertindih dengan LAN yang sudah digunakan oleh klien, jadual penghalaan klien kini mempunyai dua tuntutan pada awalan yang sama, dan yang salah sering menang atas sebab yang tiada kaitan dengan terowong.

Sahkan sesi, kemudian laluan

Periksa antara muka dahulu, kemudian laluan, kemudian satu destinasi yang penting. Setiap langkah mempunyai mod kegagalannya sendiri, dan menguji ketiga-tiganya serentak menghasilkan kesimpulan yang tidak dapat anda pertahankan kemudian.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Jika semakan awam menunjukkan alamat titik akhir sementara destinasi persendirian kehabisan masa, terowong membawa laluan lalai anda dan sisi jauh tidak membalas untuk destinasi itu. Jika destinasi persendirian membalas tetapi semakan awam tidak berubah, profil itu menggunakan terowong berpecah dan hanya sebahagian trafik menggunakan sesi.

Asingkan ketiga-tiga peringkat

Pengesahan, rundingan alamat dan pemajuan gagal dengan cara berbeza, dan setiap satu mempunyai pemilik berbeza. Kelayakan ialah masalah identiti, kehabisan IPCP ialah masalah dasar pelayan, dan laluan balik yang hilang ialah masalah reka bentuk rangkaian. Melaporkan ketiga-tiganya sebagai “VPN rosak” menjamin pembaikan yang lambat.

Catat alamat yang diberikan, kolam asalnya dan sama ada LAN sepatutnya mencapainya. Satu catatan itu menghalang orang seterusnya daripada menganggap pajakan DHCP dan mencari skop yang tidak pernah terlibat.