Indirizz VPN kontra l-kirja DHCP tal-LAN: min jassenja l-IP tat-tunnel?

Il-klijent VPN tiegħek juri indirizz li qatt ma jidher f'fajl tal-kirjiet tal-LAN. Aqra l-klijent, il-payload IKEv2 u l-pool tal-gateway biex issib min verament jassenja.

Qabbad il-klijent u ħares lejn l-adapter minflok l-ikona Wi-Fi. Indirizz bħal 10.80.0.14 jista' jkun fuq tunnel filwaqt li l-ebda server DHCP fuq il-LAN tal-uffiċċju qatt ma rreġistra dik il-kirja. Il-proċess li għażel in-numru huwa dak li jiddeċiedi minn fejn tibda l-istħarriġ.

Fuq il-klijent kollox jidher l-istess: indirizz IPv4 wieħed, maskra waħda, xi drabi gateway awtomatiku. Id-differenza tidher biss meta tistaqsi min iwieġeb għal dak l-indirizz u min iżomm rekord tiegħu.

Aqra l-indirizz tat-tunnel mill-ġenb tal-klijent

Windows juri d-differenza jekk taqra l-blokka kollha u mhux l-ewwel linja. ipconfig /all jistampa deskrizzjoni tal-adapter, indirizz fiżiku u linja DHCP. Adapter tad-dial-up PPP jew IKEv2 normalment jirrapporta DHCP bħala mitfi, għax il-konnessjoni nnegozjat l-indirizz tagħha waqt id-dial-up minflok ma krietha minn server tal-LAN. Adapter tat-tunnel b'DHCP mixgħul huwa mhux tas-soltu u jistħoqqlu investigazzjoni għalih.

Linux jaqsam l-istess informazzjoni bejn żewġ għodod. ip -4 addr show dev tun0 jagħti l-indirizz u t-tul tal-prefiss. nmcli -f IP4 connection show work jiżvela jekk il-valur ġiex mill-profil tal-konnessjoni, minn skambju DHCP fuq il-link jew minn konfigurazzjoni mbuttata. WireGuard huwa l-iktar każ ċar, għax wg-quick japplika l-linja Address mill-fajl tal-konfigurazzjoni meta l-interface tidher u l-ebda peer ma jassenja xejn waqt il-konnessjoni.

Il-prefiss jgħid xi ħaġa wkoll. /32, jew maskra ta' 255.255.255.255, ifisser li l-gateway jistenna li jirrotta lejn indirizz wieħed ta' host, filwaqt li maskra usa' tissuġġerixxi subnetwork fuq il-link x'imkien wara t-tunnel.

X'ġorr il-payload tal-konfigurazzjoni IKEv2

IKEv2 għandu mekkaniżmu ddedikat għal dan ix-xogħol. Il-payload tal-konfigurazzjoni deskritt f'RFC 7296, taqsima 3.15.1 iġorr attributi bħal INTERNAL_IP4_ADDRESS, INTERNAL_IP4_NETMASK, INTERNAL_IP4_DNS u l-kontropartijiet IPv6 tagħhom. Il-klijent jibgħat attribut b'valur ta' tul żero meta m'għandux preferenza, u min iwieġeb jirritorna l-valur li jrid jintuża. Dak l-iskambju jgħaddi ġewwa IKE_AUTH, diġà kriptat, għalhekk l-ebda xandira DHCP qatt ma taqsam it-tunnel.

Jsegwu żewġ konsegwenzi. L-ewwel, l-indirizz jintgħażel min iwieġeb jew minn kwalunkwe backend ta' awtorizzazzjoni li jikkonsulta, u għalhekk pool jista' jgħix fuq il-gateway, fi tweġiba RADIUS jew fi mappa ta' fornitur tal-identità. It-tieni, l-attribut DNS huwa separat mill-attribut tal-indirizz. Li tirċievi 10.80.0.14 ma jgħid xejn dwar liema resolver ġie lura, jew jekk ġie lura xejn.

L-attribut tal-maskra tan-network huwa fakultattiv fil-prattika. Ħafna installazzjonijiet jirritornaw biss indirizz u jħallu lill-klijent jinstalla rotta tal-host, u għalhekk l-istess pool jista' jidher bħal /32 fuq klijent wieħed u /24 fuq ieħor.

Fejn jaħbtu l-ambitu DHCP tal-LAN u l-pool VPN

L-inkwiet jibda meta ż-żewġ assenjaturi jindikaw l-istess firxa. Server DHCP għal 10.20.30.0/24 ma jafx xejn dwar pool VPN konfigurat għal 10.20.30.128/25, għalhekk xejn ma jwaqqfu milli jagħti 10.20.30.140 bħala kirja lil printer waqt li l-gateway jagħti l-istess indirizz lil klijent remot. Il-ħabta tibqa' siekta għal ġranet u mbagħad tidher bħala duplikat intermittenti.

Disinn b'rotta minn sit għal sit jevita l-ħabta bil-bini tiegħu. Host fil-fergħa jżomm l-indirizz li tah il-server DHCP lokali tiegħu. L-interfaces tat-tunnel fuq iż-żewġ gateways iġorru l-indirizzi tal-link tagħhom stess, u t-tabella tar-rotot tiddeċiedi kif jivvjaġġaw il-pakketti. L-indirizzi tal-klijenti tal-aċċess remot huma t-tielet kategorija u m'għandhomx jitħalltu mal-indirizzi tal-link tal-gateway.

Li l-tunnel jiġi pontat fuq il-LAN ineħħi dik is-separazzjoni. Jekk id-disinn verament jeħtieġ dominju wieħed tax-xandir, il-punt tat-tarf tal-VPN irid jieħu sehem fl-istess deċiżjonijiet tal-assenjazzjoni bħas-server DHCP, permezz ta' relay jew sors awtorevoli maqsum, minflok ma joħroġ indirizzi waħdu.

Ivverifika liema proċess jippossjedi l-indirizz

Ipprova s-sjieda qabel ma tibdel ambitu. Fuq il-klijent, innota l-indirizz u l-prefiss. Fuq il-LAN, fittex fid-database tal-kirjiet. Fuq il-gateway, elenka l-pools li huwa konfigurat biex iqassam. Indirizz misjub fil-fajl tal-kirjiet jappartjeni lil server DHCP, jiġifieri t-tunnel huwa pontat jew mibgħut b'relay; indirizz misjub biss fil-pool tal-gateway jappartjeni lill-punt tat-tarf tat-tunnel.

# client: address and prefix on the tunnel interface
ip -4 addr show dev tun0

# LAN DHCP server: is this address leased to anyone?
grep -c '10.80.0.14' /var/lib/dhcp/dhcpd.leases

# gateway: pools that remote-access clients draw from
sudo swanctl --list-pools

Innota erba' affarijiet meta t-tweġiba tkun ċara: liema komponent jassenja l-indirizz tal-klijent, liema firxa hija riżervata għalih, kif it-traffiku tar-ritorn jasal għal dik il-firxa u liema riżorsi jaċċettawh. Dawk l-erba' entrati jbiddlu linja ta' adapter virtwali fi fatt operattiv.

Erġa' agħmel il-verifika għall-attribut DNS waqt li tkun hemm. Pool li jqassam indirizzi mingħajr resolver iħalli lill-klijent fuq id-DNS lokali tiegħu, li hija ħsara differenti minn pool li jqassam indirizz li l-LAN diġà juża.

Artikli relatati