L-adapter VPN juri /32: dan ma jfissirx destinazzjoni waħda

L-adapteri juru 255.255.255.255, u spiss jiġi konkluż li l-VPN jilħaq eżattament indirizz wieħed. Dik il-qari tħawwad l-indirizz tal-klijent stess mal-sett ta’ destinazzjonijiet li jiġu rrotati mit-tunnel. Fuq interface point-to-point jew interface rrotata, dawn huma żewġ oġġetti differenti, u wieħed biss minnhom jillimita l-aċċessibilità. Il-mit jibqa’ ħaj għax il-maska tidher bħall-maska tas-subnet li n-nies tgħallmu fuq Ethernet.

Il-mit: maska tal-host tfisser host wieħed li jista’ jintlaħaq

Allokazzjoni /32 tgħid lill-interface liema indirizz jappartjeni għal dan it-tarf tal-link, u fuq link point-to-point dan huwa kollha li tfisser. L-indirizz tal-pari huwa qasam separat, u r-rotot li jgħidu x’hemm lil hinn mill-pari huma għal darb’oħra separati. Xejn fil-maska ma jiddeskrivi n-netwerk imbiegħed, għax il-maska mhijiex il-post fejn jiġu deskritti netwerks imbiegħda. Li taqrah bħala limitu ta’ aċċessibilità huwa bħal li taqra n-numru tad-dar tiegħek stess bħala lista ta’ kull indirizz li tista’ żżur.

Il-konfużjoni għandha għerq reali: fuq Ethernet, maska tal-host tassew tfisser indirizz wieħed fuq dak is-segment. Tunnel mhuwiex segment Ethernet, u dak li jgħaddi minnu jiġi deċiż mit-tabella tar-rotot tal-klijent, mhux mill-maska. Għalhekk l-istess /32 tista’ tqum quddiem ċentru tad-data kollu.

Aqra l-indirizz u r-rotot bħala oġġetti separati

Ipprintja l-interface u t-tabella flimkien, imbagħad aqrahom bħala żewġ tweġibiet għal żewġ mistoqsijiet. L-indirizz iwieġeb min hu dan it-tarf; ir-rotot iwieġbu fejn jista’ jmur it-traffiku. It-tielet mistoqsi, liema destinazzjonijiet tippermetti l-gateway, lanqas biss jidher fuq il-klijent. Ir-referenza tal-indirizzi ta’ iproute2 tiddeskrivi b’mod separat il-qasmiet tal-indirizz lokali, tal-pari u tar-rotta tal-prefiss proprju għal dan ir-raġuni.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Fuq Windows teżisti l-istess separazzjoni bejn il-lista tal-indirizzi u t-tabella tar-rotot, u l-kmand tat-tiftix huwa l-aktar mod mgħaġġel biex tara liema jirbaħ għal destinazzjoni partikolari. Jekk it-tiftix jirritorna l-interface tat-tunnel, il-klijent jibgħat il-pakkett hemmhekk. Jekk jirritorna l-adapter fiżiku, il-klijent qatt ma jistaqsi lill-VPN, u l-ebda permess fuq in-naħa tas-server ma jbiddel dan. Iċċekkja d-destinazzjoni li tassew għandek bżonn, mhux indirizz pubbliku ġeneriku.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Ieqaf jekk it-tiftix jindika l-interface ħażina. Dik hija problema tar-rotot tal-klijent, u tiġi ssewwija fuq il-klijent.

Għaliex it-twessigħ tal-maska normalment jagħmilha agħar

Li tbiddel l-allokazzjoni għal /24 biex tidher bħall-LAN tal-uffiċċju tista’ toħloq prefiss fuq il-link: il-kernel issa jemmen li l-/24 kollha hija mqabbda direttament mal-interface tat-tunnel. It-traffiku għal indirizzi li għandhom jiġu rrotati mill-gateway imbagħad jintbagħat bħallikieku hemm ġar fuq il-link. Ir-riżultat huwa toqba sewda li tidher bħal waqfa tas-server.

Hija wkoll taħbi l-problema vera, jiġifieri rotta nieqsa jew permess nieqes fuq il-gateway. L-ebda waħda minnhom ma tinħoloq minn maska usa’, u t-tnejn jibqgħu wara l-bidla. Jekk id-disinn jeħtieġ prefiss akbar fuq l-interface, din hija deċiżjoni għall-mudell tal-interface li jintuża, meħuda bid-dokumentazzjoni f’idejk. Li tikkopja maska minn screenshots ta’ prodott ieħor mhijiex dik id-deċiżjoni.

Jekk ir-rotta tal-prefiss imbiegħed hija nieqsa, sewwi l-provvista tagħha. Jekk hija preżenti u l-konnessjoni għadha tiġi miċħuda, il-maska qatt ma kienet id-dijanjosi.

Meta r-rotta tkun tajba u l-fluss xorta jfalli

Rotta tajba tipprova biss li l-klijent se jibgħat il-pakkett. Il-gateway xorta jeħtieġ jilqa’ d-destinazzjoni, il-passaġġ lura jeħtieġ ikun hemm għall-indirizz allokat, u s-servizz jeħtieġ jippermetti l-fluss. Ittestja dawn it-tlieta separatament: it-tiftix fuq il-klijent, il-firxa permessa tal-gateway u talba lil server wieħed meħtieġ. Li l-awtentikazzjoni tirnexxi qabel ma jkunu fis-seħħ it-tlieta huwa normali, u għalhekk klijent konness xorta jista’ ma jilħaq xejn.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Żomm l-oġġetti tan-netwerk u l-permessi tal-grupp mal-sid tagħhom fuq servizz immexxi minn apparat. X’jingħad lill-klijent biex jilħaq u x’inhu permess juża huma settings differenti, spiss fuq skrins differenti. Li tbiddel wieħed u tittestja l-ieħor huwa kif biljett jaqbeż bejn żewġ timijiet.

Il-mit li għandu jirtira huwa li l-maska hija limitu tal-aċċessibilità. Aqra l-indirizz, ir-rotot u l-politika tal-gateway bħala tliet fatti separati, u /32 tieqaf tidher bħala restrizzjoni u tibda tidher bħala allokazzjoni normali tat-tunnel.