Dak l-indirizz L2TP huwa IPCP, mhux kera DHCP fuq il-LAN

L-indirizz intern ġej min-negozjar PPP, mhux mis-server DHCP tal-uffiċċju. Ara liema stadju jallokah, għaliex il-LAN ma tistax twieġeb u x’għandek tiċċekkja.

Il-konnessjoni tqum u l-adapter juri indirizz fil-firxa tal-uffiċċju, għalhekk il-konklużjoni naturali hi li l-VPN tak indirizz LAN u b’hekk qegħdek fuq il-LAN. Ħadd miż-żewġ nofsijiet mhu kompletament tajjeb. L2TP iġorr sessjoni PPP, u PPP tinnegozja l-indirizz IPv4 intern mal-IPCP. Dak l-indirizz huwa parametru tas-sessjoni miftiehem bejn żewġ partijiet, mhux kera maħruġa mis-server DHCP tal-uffiċċju, u li jkollok dan ma jagħmlekx ġar fuq il-wajer tal-uffiċċju.

Żewġ indirizzi f’konnessjoni waħda

Hemm żewġ negozjati indipendenti f’konnessjoni L2TP. Dak ta’ barra jistabbilixxi triq protetta bejn it-tagħmir tiegħek u l-punt tat-tmiem tal-VPN fuq kwalunkwe netwerk li diġà għandek. Dak ta’ ġewwa huwa s-sessjoni PPP, u hemmhekk jiġu miftiehma l-indirizz tas-sessjoni tiegħek u l-indirizz tan-naħa l-oħra. It-traffiku tal-internet jista’ joħroġ għal kollox taħt it-tielet indirizz, l-indirizz pubbliku tal-punt tat-tmiem, u għalhekk paġna tal-verifika tal-VPN u l-indirizz tal-adapter rari jaqblu.

Li żżomm dawn it-tliet rwoli separati jwieġeb il-biċċa l-kbira tal-mistoqsijiet li n-nies iġibu f’dan is-saff. Numru privat fuq l-interface tal-VPN huwa normali u mistenni. Ma jgħid xejn dwar jekk il-punt tat-tmiem bidilx il-ħruġ pubbliku tiegħek, u waħdu ma jiddeċidix liema destinazzjonijiet jilħaq it-traffiku tiegħek.

X’jagħmel IPCP eżattament

IPCP huwa l-protokoll tal-kontroll IPv4 għall-PPP. Kull naħa tibgħat messaġġi Configure-Request li jiddeskrivu l-għażliet li trid, u l-għażla tal-indirizz hija waħda minnhom. Klijent li għad m’għandux indirizz normalment jistaqsi b’0.0.0.0, u s-server iwieġeb b’Configure-Nak li jġorr l-indirizz li jrid il-klijent juża. Imbagħad il-klijent jitlob dak l-indirizz, u s-sessjoni tqum b’indirizz lokali u indirizz remot.

Dak l-iskambju huwa dokumentat fl-ispeċifikazzjonijiet PPP u IPCP, u jispjega dettall li jidher bħal bug: l-indirizz jintgħażel mis-server skont il-politika tiegħu stess, li tista’ tkun pool, setting għal kull utent jew indirizz marbut mal-identità awtentikata. Meta l-pool jispiċċa, jew il-politika taqbad mal-ħtieġa, l-awtentikazzjoni tista’ tirnexxi filwaqt li n-negozjat tal-indirizz ifalli, u l-klijent jirrapporta konnessjoni li qatt ma tistabbilizza.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Linja fil-log tal-pppd li ssemmi indirizz lokali u indirizz remot huwa t-tmiem ta’ suċċess ta’ dak in-negozjat. In-nuqqas tagħha, ħdejn awtentikazzjoni ta’ suċċess, tindika l-istadju tal-indirizz u mhux il-kredenzjali.

Għaliex il-LAN ma tistax twieġbek

Indirizz mill-firxa tan-naħa l-bogħida joħloq l-aspettattiva li hosts fuq dik il-LAN jistgħu jilħquk, u ħafna drabi ma jistgħux, sakemm is-server ma jirrutax l-indirizz tas-sessjoni tiegħek lura fit-tunnel. Li tkun ġewwa pool hija dikjarazzjoni dwar l-allokazzjoni, mhux dwar it-topoloġija. Is-server tal-fajls tal-uffiċċju m’għandux rotta lejn l-indirizz tas-sessjoni tiegħek sakemm is-server tal-VPN ma jgħaddihx, u forsi lanqas biss huwa permess anke jekk jagħmel hekk.

Għalhekk ukoll firxiet li jaqsmu fuq xulxin joħolqu problemi mhux proporzjonati mad-daqs apparenti tagħhom. Jekk il-pool jaqsam ma’ LAN li l-klijent diġà juża, it-tabella tar-routing tal-klijent issa għandha żewġ talbiet fuq l-istess prefiss, u dak żbaljat spiss jirbaħ għal raġunijiet li m’għandhom x’jaqsmu xejn mat-tunnel.

Ivverifika s-sessjoni, imbagħad ir-rotta

Iċċekkja l-interface l-ewwel, imbagħad ir-rotot, imbagħad destinazzjoni waħda li timporta. Kull pass għandu l-mod tiegħu ta’ falliment, u li tittestja t-tlieta flimkien tipproduċi konklużjoni li ma tkunx tista’ tiddefendi aktar tard.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Jekk il-verifika pubblika turi l-indirizz tal-punt tat-tmiem filwaqt li destinazzjoni privata tispiċċa fi timeout, it-tunnel qed iġorr ir-rotta default tiegħek u n-naħa l-bogħida mhix twieġeb għal dik id-destinazzjoni. Jekk id-destinazzjoni privata twieġeb imma l-verifika pubblika ma tinbidilx, il-profil juża tunnel maqsum u biss parti mit-traffiku tuża s-sessjoni.

Żomm it-tliet stadji separati

L-awtentikazzjoni, in-negozjat tal-indirizz u l-ftuħ tal-pakketti jonqsu b’modi differenti, u kull waħda għandha responsabbli differenti. Il-kredenzjali huma problema ta’ identità, l-eżawriment tal-IPCP hija problema ta’ politika tas-server, u rotta tar-ritorn nieqsa hija problema tad-disinn tan-netwerk. Li tirrapporta t-tlieta bħala “il-VPN hi miksura” tiggarantixxi tiswija bil-mod.

Innota l-indirizz assenjat, il-pool li minnu ġie u jekk il-LAN għandhiex tilħaq. Dik in-nota waħda tipprevjeni lill-persuna li jmiss milli tassumi kera DHCP u tfittex ambitu li qatt ma kien involut.

Artikli relatati