Għaliex VPN b'tunnel sħiħ jaħbi l-VLANs lokali tiegħek

Is-swiċċ “ippermetti n-netwerk lokali” fi klijent VPN jidher li jkopri kollox fil-bini. Fil-prattika normalment iżid ftit eċċezzjonijiet tal-indirizzi privati mar-rotta default tat-tunnel u jieqaf hemm. Il-VLAN tal-ħażna tiegħek għadha aċċessibbli biss jekk rotta għal dak il-prefiss speċifiku tibqa' ħajja meta jasal it-tunnel, u fuq ħafna klijenti ma tibqax.

Dik hija kwistjoni ta' routing aktar milli setting tal-VPN, u din hija aħbar tajba: għandha tweġiba konkreta.

X'jiġi kopert tassew mill-għażla tan-netwerk lokali

Il-klijenti jimplimentaw dik l-għażla b'modi differenti. Xi wħud iżidu rotot għas-subnet li l-magna hija mwaħħla magħha, oħrajn iżidu l-firxiet RFC 1918, u ftit li xejn jeskludu biss il-gateway default. Ħadd minnhom ma jaf li r-router tal-uffiċċju tiegħek jaqdi wkoll VLAN tal-ħażna, segment tal-laboratorju jew subnet tal-printer, għax dawk il-prefissi mhumiex fuq il-wire li l-klijent jista' jara. Aqra d-dokumentazzjoni tal-klijent stess għall-imġieba eżatta minflok ma tassumi li t-tikketta tiddeskrivi t-topoloġija tiegħek.

Id-differenza hija l-aktar importanti fi disinn b'tunnel sħiħ, fejn il-klijent apposta jissostitwixxi r-rotta default sabiex it-traffiku kollu jgħaddi mill-VPN. Dan huwa l-iskop kollu tad-disinn, u dan huwa wkoll dak li jagħmel in-netwerks routed lokali jisparixxu. Qatt ma kienu koperti b'rotta tagħhom stess; kienu qed jirkbu fuq ir-rotta default li għadha kemm ġiet sostitwita. Klijent ma jistax jagħti rotta lil dak li ma jafx li jeżisti, u jitgħallem biss dwar il-prefissi mwaħħla mal-interface tiegħu stess. Kull ħaġa oħra trid tiġi deskritta minn xi ħadd li jaf it-topoloġija.

Ir-rotot konnessi jieqfu fl-ewwel router

Workstation f'192.168.10.20/24 bil-gateway 192.168.10.1 tikseb rotta konnessa għal 192.168.10.0/24 awtomatikament. Il-VLAN tal-ħażna f'192.168.20.0/24 hija prefiss differenti, aċċessibbli biss permezz ta' dak il-gateway, u l-workstation m'għandhiex rotta għaliha lil hinn mid-default. Qabel ma jiġi t-tunnel, id-default tas-soltu jibgħat it-traffiku tal-ħażna lil 192.168.10.1 u kollox jaħdem.

Meta l-VPN jinstalla default b'tunnel sħiħ, il-pakketti għal 192.168.20.1 isegwu d-default il-ġdid fit-tunnel. Il-gateway remot ma jafx fejn jgħix dak il-prefiss, għalhekk jaqbadhom jew jgħaddihom xi mkien inutli. Xejn ma kien ikkonfigurat ħażin fuq il-VLAN tal-ħażna; it-triq tagħha kienet mislufa, u s-self ġie mitlub lura.

It-tentazzjoni hi li tmur għal eċċezzjoni wiesgħa bħal par rotot /1 jew default ieħor. Irreżisti. Iktar ma tkun dejqa l-eċċezzjoni, iktar ikun faċli li tispjegaha, tawditjaha u tneħħiha meta jinbidel in-netwerk.

Qiegħed l-eċċezzjoni fit-tabella li tirbaħ

Ġewwa tabella ta' routing waħda, /24 jegħleb /0 jew /1 bil-match tal-itwal prefiss, għalhekk rotta speċifika lejn il-VLAN tal-ħażna mill-gateway lokali hija biżżejjed, sakemm it-tabella tiġi kkonsultata xorta waħda. Fuq Linux il-forma tas-soltu hija qasira:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Ir-routing tal-politika jikkomplika dik il-garanzija. Regola preċedenti tista' tibgħat it-traffiku lejn tabella li r-rotta default tagħha stess tmur fit-tunnel, u t-tabella prinċipali li żżomm il-/24 tiegħek imbagħad qatt ma tintlaħaq. Iċċekkja r-regoli qabel ma tassumi li r-rotta hija awtorevoli, għax entrata li tidher tajba fit-tabella ħażina tispjega falliment li jidher bħal rotta miksura.

Imbagħad agħmel l-entrata persistenti permezz tal-mekkaniżmu appoġġat mill-klijent jew il-maniġer tan-netwerk li jippossjedi l-interface. Rotta miktuba fil-prompt tisparixxi fir-rikonnessjoni li jmiss, u rotta marbuta ma' gateway Wi-Fi wieħed mhijiex portabbli għan-netwerk li jmiss li żżur il-laptop.

L-ismijiet u l-politika ma jimxux mar-rotot

L-aġġustament tar-rotta jġib lura l-pakketti, mhux l-ismijiet. Jekk it-tagħmir lokali jiġi riżolt permezz ta' riżolver imbuttat li ma jafx bih, il-mount xorta jfalli minkejja li l-indirizz huwa aċċessibbli. L-ismijiet lokali jeħtieġu arranġament DNS lokali jew maqsum, u dik hija deċiżjoni separata mill-eċċezzjoni tar-rotta.

Il-politika hija separata għal darb'oħra. Il-filter tal-aċċess lokali ta' klijent VPN jista' apposta jipprojbixxi traffiku lejn firxiet privati, u rotta ma tissuperax din ir-regola. Fuq netwerk mhux fiduċjuż, indirizz privat ukoll mhuwiex prova li d-destinazzjoni hija s-server tal-ħażna tiegħek, għalhekk l-eċċezzjoni għandha tkun speċifika daqs ir-rotta stess.

Kuntratt li tista' tgħaddih lil ħaddieħor

Id-disinn lest għandu jinqara bħala lista qasira: it-traffiku ġenerali tal-internet isegwi t-tunnel, u dawn il-prefissi lokali msemmija jżommu triqthom mir-router lokali. Ikteb il-prefissi, il-hop li jmiss u s-suffiss DNS li jmur magħhom, u żomm il-lista qasira biżżejjed biex xi ħadd ikun jista' jivverifikaha mingħajr ma jaqra tabella ta' routing.

Innota l-ksib bejn il-firxiet lokali u dawk remoti. VLAN tal-ħażna li taqsam prefiss ma' xi ħaġa wara l-VPN se jiġi riżolt lejn ir-rotta li hija iktar speċifika, u l-imġieba li tirriżulta hija konfuża b'mod li jidher intermittenti. Li terġa' ttella n-numri ta' naħa waħda normalment tiswa inqas milli tiddenbubja dik l-ambigwità għal dejjem.

Ittestja l-kuntratt darbtejn: darba bit-tunnel mixgħul u darba b't-tunnel mitfi. Jekk it-triq lokali taħdem biss f'waħda minn dawn l-istati, l-eċċezzjoni għadha mhijiex kuntratt.