Menyalin /32 terowong tidak akan menghalakan subnet pejabat
Alamat yang diberikan VPN kepada penyesuai anda menerangkan pautan, bukan destinasi. Tambahkan awalan sumber pada profil dan biarkan laluan lalai tidak terganggu.
VPN bersambung, antara muka memaparkan alamat dengan topeng tiga puluh dua bit, dan pelayan pejabat kekal tidak dapat dicapai. Langkah seterusnya selalunya menggunakan semula topeng itu dalam laluan, atas teori bahawa antara muka menerangkan apa yang boleh dicapai oleh terowong. Bukan begitu. Alamat itu menerangkan hujung setempat bagi pautan titik-ke-titik, dan destinasi yang anda pedulikan terletak dalam awalan lain di sebelah sana.
Dua perkara berbeza dicampuradukkan: alamat yang terowong berikan kepada anda, dan rangkaian yang anda mahu capai melaluinya.
Dua alamat, dua tugas
Pada terowong titik-ke-titik, alamat klien selalunya satu alamat hos tunggal kerana terdapat tepat satu rakan sebaya di hujung lain pautan. Tiada segmen dikongsi dan tiada ARP, jadi topeng yang akan kelihatan tidak masuk akal pada Ethernet adalah normal sepenuhnya di sini.
Awalan destinasi ialah fakta tentang rangkaian pejabat, bukan tentang terowong. Jika anda memerlukan satu pelayan, laluan itu ialah laluan hos untuk pelayan itu. Jika anda memerlukan seluruh subnet pejabat, laluan itu ialah subnet itu. Tiada satu pun jawapan boleh dibaca daripada antara muka, dan memilih satu kerana ia muncul di sebelah alamat terowong ialah cara persediaan yang berfungsi dirosakkan.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Baris ketiga itulah tempat optimisme menjadi gangguan. Menghalakan seluruh julat peribadi ke dalam terowong yang hanya melayani satu tapak menolak trafik tidak berkaitan ke laluan yang tidak dapat menyampaikannya, dan kegagalan yang terhasil kelihatan seperti VPN rosak, bukan laluan yang terlalu luas.
Pilih awalan daripada keperluan
Tulis keperluan sebagai satu ayat sebelum menyentuh profil: hos mana yang mesti boleh dicapai, dan apakah awalan paling sempit yang meliputi mereka? Satu pelayan ialah laluan hos. Satu subnet ialah laluan subnet. Julat subnet ialah ringkasan, dan ringkasan ialah janji bahawa setiap alamat di dalamnya boleh dicapai, yang jarang benar.
Kemudian semak nombor itu terhadap apa yang sebenarnya digunakan oleh pejabat. Menyalin awalan daripada mesej sembang tanpa mengesahkannya dengan pelan pengalamatan tapak ialah cara laluan akhirnya menunjuk ke subnet yang tiada siapa memilikinya.
Ingat juga bahawa laluan ialah jalan, bukan kebenaran. Get laluan masih menentukan sama ada klien anda boleh menggunakan destinasi itu, dan perkhidmatan masih boleh menolak anda. Memasang laluan dengan betul membawa paket ke sana dan tidak menjawab apa-apa tentang kebenaran.
Tambahkan pada profil, jangan sekali-kali menggantikannya
Laluan dalam profil NetworkManager ialah sifat berbilang nilai, dan perbezaan antara menetapkan dan menambah ialah satu aksara. Gunakan bentuk tambah untuk menambah entri dan mengekalkan semua yang sudah disimpan.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Tanpa tambah, penugasan menggantikan seluruh senarai. Pada profil yang sudah membawa beberapa awalan, itu memadam secara senyap yang sedang berfungsi, dan simptom datang kemudian sebagai perkhidmatan yang dahulunya boleh dicapai dari komputer riba ini.
Gunakan UUID dan bukan nama. Nama diduplikasi selepas pemulihan, dan sambungan yang anda edit mungkin bukan yang membawa trafik anda. Semak dahulu sama ada entri serupa sudah wujud, kerana menambah pendua tidak kemas walaupun ia tidak berbahaya.
Ini rujukan sifat laluan mendokumenkan destinasi, lompatan seterusnya pilihan, metrik dan sintaks atribut untuk versi yang dipasang. Bacalah sebelum menambah lompatan seterusnya, kerana sama ada ia diperlukan bergantung pada integrasi dan topologi, dan menekanya daripada alamat pertama dalam senarai antara muka bukanlah satu kaedah.
Laluan lalai dan DNS ialah keputusan berasingan
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Laluan automatik ialah perkara lain yang tidak patut diganggu secara semberono. Menekannya untuk menyelesaikan satu entri yang hilang boleh membuang beberapa yang berfungsi, dan orang yang mencadangkannya biasanya melihat profil lain dengan push yang berbeza.
DNS mempunyai laluannya sendiri dan kegagalannya sendiri. Nama yang diselesaikan ke alamat yang betul melalui penyelesai yang salah, atau penyelesai yang tidak dapat menjawab zon peribadi, akan kelihatan seperti masalah penghalaan sedangkan laluan itu sempurna. Uji alamat dan nama secara berasingan, kemudian tentukan lapisan mana yang sebenarnya gagal.
Sahkan apa yang telah digunakan
Perubahan yang disimpan bukan perubahan yang digunakan. Sambung semula melalui kitaran hayat yang disokong pengurus, kemudian lihat laluan sebenar ke destinasi yang dimaksudkan dan peraturan dasar yang menentukan jadual mana yang dirujuk.
Jika awalan itu ada dan sambungan masih gagal, anda telah beralih kepada masalah lain: pemilihan alamat sumber, laluan balik di hujung jauh, atau perkhidmatan yang menolak klien anda. Setiap satunya ialah tempat yang lebih baik untuk dilihat daripada profil yang sudah anda betulkan.