Laluan terpisah L2TP pada Mac: mengapa alamat hos tidak berfungsi

VPN bersambung, bar menu menunjukkannya, dan hos dalaman masih tamat masa. Dalam keadaan itu ada tiga punca mungkin, dan yang mana terpakai bergantung pada cara terowong dikonfigurasikan. Sama ada arahan laluan menggunakan alamat hos di tempat yang memerlukan alamat rangkaian, atau profil itu sendiri memasang laluan lalai yang menelan keputusan itu, atau klien ialah terowong PPP yang memerlukan cangkuk dan bukannya kunci profil. Semak mengikut urutan itu, kerana yang pertama paling murah untuk diketepikan.

Destinasi ialah alamat rangkaian, topeng menerangkan awalan

networksetup -setadditionalroutes mengambil tiga serangkai destinasi, topeng subrangkaian dan get laluan. Panggilan yang menghantar satu subrangkaian dalaman melalui terowong kelihatan seperti ini:

sudo networksetup -setadditionalroutes "VPN (L2TP)" 192.168.1.0 255.255.255.0 10.2.0.0

Perhatikan apa itu destinasi: alamat rangkaian, bukan alamat pelayan yang anda cuba capai. Dalam kes yang menghasilkan artikel ini, arahan yang serupa dengan 192.168.1.20 di kedudukan itu tidak melakukan apa-apa yang berguna, dan menggantikannya dengan 192.168.1.0 terus berfungsi. Topeng sama, get laluan sama, satu nombor berbeza. Itulah keseluruhan kegagalan dalam bentuk kecil.

Sebabnya aritmetik, bukan dasar. Alamat hos yang dipasangkan dengan topeng /24 tidak menerangkan 192.168.1.0/24; ia menerangkan sesuatu yang jadual penghalaan tidak dapat menyimpan dengan berguna, jadi entri ditolak atau diabaikan dan terowong akhirnya membawa kurang daripada yang anda maksudkan.

Apabila anda mahukan tepat satu hos, gunakan alamat hos dengan topeng 255.255.255.255. Pasangan bercampur ialah tempat ini rosak, bukan penggunaan alamat hos sebagai sedemikian. /32 yang dibina daripada satu alamat ialah laluan sah; /24 yang dibina daripada satu alamat ialah kesilapan.

Panggilan menggantikan senarai, dan namanya literal

Dua tingkah laku mengejutkan orang pada percubaan pertama. Arahan menetapkan senarai penuh laluan tambahan dan bukannya menambah, jadi panggilan yang menambah satu awalan membuang yang lain yang ada sebelum ini secara senyap. Bina keseluruhan set dalam satu panggilan.

Nama perkhidmatan juga bukan label yang anda cipta. Bacanya daripada alat itu dan salin dengan tepat, termasuk akhiran jenis:

networksetup -listallnetworkservices

Nama yang berbeza satu aksara tidak menghasilkan ralat yang berbaloi dibaca dan tidak menghasilkan laluan. Menyalin dan menampal ialah teknik yang betul di sini, bukan menaip semula daripada ingatan.

Apabila profil menuntut laluan lalai

Laluan terpisah kalah kepada laluan lalai bagi mana-mana destinasi yang tidak diliputi secara eksplisit, dan profil L2TP yang dikonfigurasikan untuk terowong penuh memasang tepat perkara itu. Jika profil mengatakan semuanya melalui terowong, senarai laluan tambahan berubah sangat sedikit. Entri anda bukan salah; ia hanya tidak relevan bagi destinasi yang tidak pernah dinamakannya. Kawalan untuk ini biasanya terletak pada tetapan hantar semua trafik profil dan bukan pada mana-mana arahan laluan.

Tentukan model mana yang anda benar-benar mahu sebelum menyunting lebih banyak entri. Terowong penuh dengan pengecualian ialah konfigurasi berbeza daripada terowong terpisah dengan awalan tertentu, dan mencampurkan kedua-duanya menghasilkan jadual yang tiada siapa dapat meramal.

Jika organisasi memerlukan terowong penuh, berhenti cuba memisahkannya secara tempatan dan bawa keperluan itu kepada pemilik dasar. Laluan yang ditambah secara tempatan yang bercanggah dengannya akan dibuang oleh kemas kini profil seterusnya juga.

Terowong PPP memerlukan cangkuk dan bukannya kunci

Untuk terowong berasaskan PPP, defaultroute ialah kunci profil yang mencipta laluan lalai; buangkannya dan klien berhenti menuntut setiap destinasi. Laluan kemudian ditambah selepas antara muka muncul, biasanya daripada /etc/ppp/ip-up:

#!/bin/sh
/sbin/route add -net 192.168.1.0 -interface ppp0

Kekalkan skrip dimiliki root dan boleh laku, dan tambah pengawal pada nama antara muka apabila terdapat lebih daripada satu profil terowong pada mesin. Cangkuk yang berjalan untuk setiap pautan PPP dan menganggap satu nama peranti ialah pepijat kecil dengan hayat panjang.

Sahkan pemisahan dengan tiga permintaan

Tangkap jadual semasa bersambung dan catat antara muka mana yang melayani terowong. Kemudian semak destinasi khusus dan bukannya mempercayai status keluar arahan yang menciptanya. Kod keluar melaporkan sama ada alat menerima argumen, bukan sama ada trafik melalui laluan yang anda maksudkan.

Akhiri dengan tiga permintaan yang membuktikan pemisahan: satu hos dalaman mengikut alamat, satu nama dalaman melalui penyelesai dalaman, dan satu laman awam yang sepatutnya masih menggunakan sambungan tempatan. Jika laman awam itu kini juga melalui terowong, pemisahan itu tidak pernah berlaku, apa pun yang kelihatan dikatakan oleh senarai laluan.

Sambung semula sekali lagi dan ulangi permintaan dalaman, kerana laluan yang ditambah dengan tangan boleh hidup lebih lama daripada antara muka yang menjadikannya sah dan secara senyap menjadikan trafik sebagai lubang hitam selepas terowong jatuh.