Penyesuai VPN menunjukkan /32: itu tidak bermakna satu destinasi

Penyesuai menunjukkan 255.255.255.255, dan kesimpulannya selalunya VPN hanya boleh mencapai satu alamat. Bacaan itu mengelirukan alamat klien sendiri dengan set destinasi yang dihalakan melalui terowong. Pada antara muka titik-ke-titik atau antara muka yang dihalakan, kedua-duanya objek berbeza, dan hanya satu daripadanya mengehadkan kebolehcapaian. Mitos ini kekal kerana topeng itu kelihatan seperti topeng subrangkaian yang dipelajari orang di Ethernet.

Mitos: topeng hos bermaksud satu hos yang boleh dicapai

Penetapan /32 memberitahu antara muka alamat mana milik hujung pautan ini, dan pada pautan titik-ke-titik itulah seluruh maksudnya. Alamat rakan ialah medan berasingan, dan laluan yang menyatakan apa yang ada di sebalik rakan juga berasingan. Tiada apa-apa dalam topeng yang menerangkan rangkaian jauh, kerana topeng bukan tempat rangkaian jauh diterangkan. Membacanya sebagai had capaian sama seperti membaca nombor rumah sendiri sebagai senarai semua alamat yang anda dibenarkan lawati.

Kekeliruan ini mempunyai akar sebenar: di Ethernet, topeng hos memang bermaksud satu alamat pada segmen itu. Terowong bukan segmen Ethernet, dan apa yang melaluinya ditentukan jadual penghalaan klien, bukan topeng. Itulah sebabnya /32 yang sama boleh berdiri di hadapan seluruh pusat data.

Baca alamat dan laluan sebagai objek berasingan

Cetak antara muka dan jadual bersama-sama, kemudian baca kedua-duanya sebagai dua jawapan kepada dua soalan. Alamat menjawab siapa hujung ini; laluan menjawab ke mana trafik boleh pergi. Soalan ketiga, destinasi mana yang dibenarkan gerbang, langsung tidak kelihatan pada klien. Rujukan alamat iproute2 menerangkan medan alamat tempatan, rakan dan laluan awalan secara berasingan semata-mata kerana sebab ini.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Dalam Windows pemisahan yang sama wujud antara senarai alamat dan jadual penghalaan, dan perintah carian ialah cara terpantas untuk melihat mana yang menang bagi destinasi tertentu. Jika carian mengembalikan antara muka terowong, klien akan menghantar paket ke sana. Jika ia mengembalikan penyesuai fizikal, klien tidak pernah bertanya kepada VPN, dan tiada kebenaran di sebelah pelayan akan mengubahnya. Periksa destinasi yang benar-benar anda perlukan, bukan alamat awam umum.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Berhenti jika carian menunjuk ke antara muka yang salah. Itu masalah penghalaan klien, dan ia dibetulkan pada klien.

Mengapa meluaskan topeng biasanya menjadikannya lebih teruk

Menukar penetapan kepada /24 supaya kelihatan seperti LAN pejabat boleh mencipta awalan pada pautan: kernel kini percaya seluruh /24 disambung terus ke antara muka terowong. Trafik ke alamat yang sepatutnya dihalakan melalui gerbang kemudian dihantar seolah-olah ada jiran pada pautan itu. Hasilnya ialah lubang hitam yang kelihatan seperti kegagalan pelayan.

Ia juga menyembunyikan masalah sebenar, iaitu laluan yang hilang atau kebenaran yang hilang pada gerbang. Kedua-duanya tidak dicipta oleh topeng yang lebih lebar, dan kedua-duanya kekal selepas perubahan. Jika reka bentuk memerlukan awalan lebih besar pada antara muka, itu keputusan untuk model antara muka yang digunakan, diambil dengan dokumentasi di tangan. Menyalin topeng daripada tangkapan skrin produk lain bukanlah keputusan itu.

Jika laluan awalan jauh hilang, betulkan peruntukannya. Jika ia ada dan sambungan masih ditolak, topeng itu tidak pernah menjadi diagnosis.

Apabila laluan betul dan aliran masih gagal

Laluan yang betul hanya membuktikan klien akan menghantar paket. Gerbang masih perlu menerima destinasi, laluan pulang mesti wujud untuk alamat yang ditetapkan, dan perkhidmatan mesti membenarkan aliran. Uji ketiga-tiganya secara berasingan: carian pada klien, skop yang dibenarkan gerbang, dan permintaan ke satu pelayan yang diperlukan. Pengesahan berjaya sebelum ketiga-tiganya tersedia adalah normal, dan itulah sebabnya klien yang bersambung masih boleh tidak mencapai apa-apa.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Simpan objek rangkaian dan kebenaran kumpulan bersama pemiliknya pada perkhidmatan yang diurus peranti. Apa yang dikatakan perlu dicapai oleh klien dan apa yang dibenarkan digunakannya ialah tetapan berbeza, selalunya pada skrin berbeza. Menukar satu dan menguji yang lain ialah cara tiket melantun antara dua pasukan.

Mitos yang perlu dipersarakan ialah topeng merupakan had capaian. Baca alamat, laluan dan dasar gerbang sebagai tiga fakta berasingan, dan /32 berhenti kelihatan seperti sekatan dan mula kelihatan seperti penetapan terowong biasa.