Mengapa carian nama gagal melalui terowong OpenVPN berpenghalaan

Hos menjawab ping melalui alamat dan gagal pada setiap carian melalui nama. Terowong aktif dan laluan wujud, jadi kesimpulan semula jadi ialah VPN salah dikonfigurasikan. Kesimpulan yang lebih berguna ialah carian itu tidak pernah boleh dihalakan: terowong berpenghalaan membawa unicast IP, manakala pertanyaan itu ialah siaran yang mencari segmen yang tiada di seberang. Sebaik sahaja ketakpadanan lapisan kelihatan, pembaikan menyusun dirinya sendiri mengikut kos.

Mitos: terowong rosak kerana nama gagal

Gejalanya meyakinkan kerana segala-galanya di atas lapisan nama berfungsi. Alamat dihalakan, antara muka aktif, dan rakan menjawab ping. Yang gagal ialah mekanisme penemuan yang tidak pernah mempunyai laluan merentasi pautan titik-ke-titik, dan itu pernyataan berbeza daripada terowong rosak. Memisahkan kedua-dua pernyataan itu ialah sebahagian besar diagnosis.

Menganggapnya sebagai kerosakan terowong membawa kepada suntingan profil yang tidak dapat membantu. Menambah pilihan, menukar penyulitan atau memasang semula klien membiarkan siaran tepat di tempatnya.

Namakan mekanisme yang gagal sebelum menamakan pembaikan. Carian yang menggunakan siaran memerlukan segmen, manakala carian yang menggunakan penyelesai memerlukan alamat untuk ditanya.

Apa yang TUN bawa dan apa yang tidak

Peranti TUN ialah antara muka IP, dan itulah yang menjadikannya boleh dihalakan. OpenVPN memberikan klien alamat dan satu set laluan, dan selepas itu klien menghantar datagram kepada rakan. Tiada apa-apa dalam model itu mencipta pautan dikongsi tempat setiap hos mendengar setiap bingkai.

Trafik penemuan langsung tidak sesuai dengan model itu. Pertanyaan nama Windows lama, pengumuman SSDP dan permintaan mDNS dihantar kepada semua orang pada segmen dan bukan kepada satu destinasi. Pautan berpenghalaan tidak mempunyai «semua orang» untuk dihantar. Setiap mekanisme itu menganggap medium dikongsi.

Oleh itu terowong boleh sihat sementara penemuan gagal sepenuhnya. Itulah ayat yang perlu dipegang apabila seseorang melaporkan VPN terputus.

Jambatan berfungsi dengan menghapuskan sempadan

Peranti TAP membawa bingkai, dan jambatan menyambungkannya ke segmen LAN sebenar. Klien kemudian memegang alamat pada segmen itu dan mendengar trafik siarannya. Itulah sebabnya penjambatan kelihatan menyembuhkan masalah nama. Ia juga menjadikan klien bergantung pada segmen itu untuk pengalamatan.

Penawarnya ialah penghapusan sempadan penghalaan, bukan keupayaan penamaan baharu di dalam terowong. Semua yang disiarkan segmen kini turut merentasi pautan.

Bagi makmal kecil itu pertukaran yang wajar. Merentasi tenaga kerja yang bertaburan jarang berlaku.

Menolak DNS dan WINS ialah pembaikan yang lebih sempit

Berikan klien tempat tertentu untuk bertanya. dhcp-option DNS dan dhcp-option DOMAIN mengarahkan nama dalaman ke pelayan yang mengenali zon itu, dan klien Windows yang masih bergantung pada NetBIOS boleh menerima pelayan WINS dengan cara yang sama. Terowong kekal berpenghalaan dan segmen kekal di tempatnya.

Dua syarat menentukan sama ada ia berkesan. Pelayan yang dinamakan mesti menjawab bagi zon itu, dan pertanyaan mesti dibenarkan melalui terowong.

Uji penyelesai dari klien dan bukan dari cangkerang pelayan itu sendiri. Penyelesai yang berfungsi secara setempat tidak memberitahu apa-apa tentang apa yang dibawa terowong.

Ketahui lapisan mana yang gagal

Ping alamat itu dahulu, kemudian selesaikan nama dan baca pelayan mana yang menjawab. Jawapan negatif daripada pelayan yang tidak menghoskan zon itu kelihatan berbeza daripada pertanyaan yang tidak pernah meninggalkan mesin. Nama yang diselesaikan tetapi menolak sambungan ialah masalah ketiga yang sama sekali lain.

Multicast berada di sebalik dinding yang sama. Kumpulan seperti 224.0.0.251 tidak dimajukan melalui terowong berpenghalaan secara lalai, dan laluan untuk kumpulan itu tidak mencukupi tanpa laluan yang memahami multicast atau pemantul pada LAN.