VPN u LAN tad-dar fuq l-istess subnetwork: segwi l-rotta l-ewwel
Iż-żewġ adapters jitolbu 192.168.1.0/24 u rotta waħda biss tirbaħ. Segwi l-lista tal-adapters, ir-rotta rebbieħa u t-triq lura qabel ma terġa' nnumeri jew takkuża d-DNS.
Tgħaddi għall-VPN tal-uffiċċju, l-ikona fit-tray issir ħadra, l-intranet jgħabbi, u l-printer żewġ metri 'l bogħod tieqaf twieġeb. Il-kondiviżjoni li kienet taħdem dalgħodu tieqaf taħdem fuq l-istess magna, u l-ebda log ma jsemmi printer. L-ewwel reazzjoni hija DNS, għax isem li ma jiġix solvut jidher bħal isem li ma jeżistix, imma l-problema hija l-indirizz: żewġ adapters issa jitolbu 192.168.1.0/24 u rotta waħda biss tista' tirbaħ dak il-prefiss. Segwiha f'dan l-ordni u tara liema adapter ħadha qabel ma tbiddel xejn.
Ibda mis-sintomu, mhux mit-tunnel
Il-ħjiel huwa l-firxa. Jekk l-intranet jaħdem u kull apparat lokali jonqos, it-tunnel huwa f'saħħtu u t-triq lokali mhijiex. Jekk l-apparati lokali jaħdmu u l-intranet jonqos, bil-maqlub. Jekk kollox jaħdem ħlief host wieħed, qed tara indirizz wieħed li jeżisti fuq iż-żewġ naħat.
Ikteb indirizz lokali u wieħed remot qabel ma tmiss setting. “Il-printer” ma tistax tiġi ttestjata; 192.168.1.40 tista'. Dan il-pass wieħed iwaqqaf l-aktar siegħa moħlija f'dan il-problema, jiġifieri li terġa' tikteb is-settings tad-DNS minħabba deċiżjoni ta' routing.
Pass 1: ara ż-żewġ adapters jitolbu l-prefiss
Iftaħ Konnessjonijiet tan-Netwerk (ncpa.cpl) u aqra ż-żewġ adapters ħdejn xulxin. L-adapter Ethernet juri 192.168.1.50/24 bil-gateway 192.168.1.1. L-adapter VPN juri 192.168.1.201/24, mibgħut mis-server. It-tnejn huma leġittimi, it-tnejn jemmnu li l-prefiss huwa on-link, u l-istack iżomm rotta waħda għalih.
Get-NetIPAddress -AddressFamily IPv4 jelenka l-indirizzi, u Get-NetIPInterface | Sort-Object InterfaceMetric juri l-ordni li biha l-istack se jużahom. Dik il-kolonna tal-metrika hija d-deċiżjoni li se taqra, għalhekk noti n-numri minflok tipprova tiftakarhom.
Iċħad it-teorija tad-DNS b'mod irħis: Resolve-DnsName printer.office.lan jirritorna l-istess indirizz bħal bieraħ. L-isem issolva; imbagħad il-pakkett ħareġ mill-adapter ħażin. Żewġ minuti hawn jiffrankaw wara nofsinhar fis-settings tas-solver.
Pass 2: aqra r-rotta li verament rebħet
Find-NetRoute -RemoteIPAddress 192.168.1.40 jipprintja l-interface, il-hop li jmiss u s-sors li l-istack juża għal dak l-indirizz. Ittratta dan l-output bħala t-tweġiba, mhux bħala ħjiel. route print -4 jagħti t-tabella kollha meta trid tara liema entrata tilfet u kemm ilu.
L-ispeċifiċità tegħleb il-ħsieb. 192.168.0.0/25 mibgħut jegħleb 192.168.0.0/24 lokali għax il-prefiss huwa itwal, għalhekk 192.168.0.0 sa 192.168.0.127 joħorġu mit-tunnel filwaqt li n-nofs ta' fuq jibqa' lokali. Li nofs LAN jisparixxi mingħajr messaġġ ta' żball huwa mġiba korretta għal dik it-tabella.
tracert -d 192.168.1.40 jikkonfermah minn barra t-tabella: jekk l-ewwel hop huwa indirizz tat-tunnel u mhux ir-router tiegħek, ir-rotta hija l-istorja kollha. Fuq Linux l-istess mistoqsija hija ip route get 192.168.1.40, li jipprintja l-indirizz tas-sors u l-apparat fuq linja waħda. Meta t-tweġiba ssemmi tun0, waqaf tħares lejn il-browser.
Pass 3: iċċekkja t-triq lura qabel ma takkuża l-klijent
Rotta 'l quddiem korretta xorta tfalli jekk in-naħa l-bogħida ma tistax twieġeb. Meta LAN tal-klijent tintlaħaq mit-tunnel, il-gateway ta' dik il-LAN irid ikun jaf fejn jgħix il-pool tat-tunnel: ip route add 10.8.0.0/24 via 192.168.1.12 fuq dak ir-router, u push “route 192.168.1.0 255.255.255.0” mis-server biex il-klijenti jkunu jafu t-triq lura.
Mingħajr l-ewwel entrata, it-tweġiba titlaq mill-mira lejn il-gateway default tagħha, li tgħaddi indirizz privat lill-fornitur u tarmih. Is-sintomu huwa f'direzzjoni waħda u faċli tinqara ħażin: it-talbiet jidhru fuq tun0, it-tweġibiet qatt.
Regola masquerade fuq il-host VPN tneħħi l-ħtieġa ta' dik ir-rotta statika: iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE. Hija taħbi wkoll l-indirizzi tas-sors veri, li jagħmlu kull mistoqsija tal-log aktar diffiċli. Host tal-mira b'gateway default ħażin jipproduċi l-istess silenzju, b'redirezzjoni ICMP fl-aħjar każ u toqba sewda fil-każ normali, u għalhekk il-qbid jappartjeni liż-żewġt itruf.
Pass 4: agħżel tiswija li tista' tgħix magħha
Jintużaw ħames tiswijiet għal dan, u mhumiex interkambjabbli. Agħżel skont x'irid jibqa' jintlaħaq fl-istess ħin, mhux skont liema kmand huwa l-iqsar.
| Repair | What it fixes | What it costs |
|---|---|---|
| Flip interface metrics | Alternating access: office now, home later, never both | Get-NetAdapter -Name "Ethernet 2" | Set-NetIPInterface -InterfaceMetric 21; set the VPN adapter back to 5000. A client that rewrites metrics on connect defeats it |
| Renumber one side | Every host reachable in both directions | DHCP reservations, printer queues, firewall rules and hard-coded addresses all move |
| Narrow the advertised prefix | Remote hosts really live in the upper half | Breaks the day someone adds a host below the cut |
| Translate with client-nat | Both address plans stay untouched | Stateless per-client mapping, unreadable logs, anything embedding addresses breaks |
| Publish one service with DNAT | One service on the VPN host reachable from the LAN | Both address plans stay; source addresses and reverse lookups stop being meaningful |
Il-metriċi huma l-għażla rħisa u dik li n-nies jersqu lejha l-ewwel. Il-bidla tapplika għall-interface, għalhekk taħdem sakemm it-tunnel ikun 'il fuq, u għandha tkun fi skript ħdejn il-klijent u mhux f'shell li tinsa. Ma tistax tagħti aċċess simultanju għall-istess indirizz f'żewġ netwerks, u din hija l-limitu li jibgħat lil kulħadd ieħor 'l isfel fit-tabella.
Li terġa' nnumeri l-LAN tad-dar għal 10.10.0.0/24 hija s-soluzzjoni nadifa: tiġdid wieħed tal-leasing DHCP flimkien mar-riservi, il-kjuijiet tal-printer u l-indirizzi kodifikati li jsemmu l-firxa qadima. Li terġa' nnumeri n-naħa tal-uffiċċju normalment mhijiex deċiżjoni tiegħek. IPv6 telimina l-kolliżjoni għal kollox meta ż-żewġ netwerks iġorruha, billi tuża prefiss lokali uniku minn fd00::/8 minflok xi ħaġa li tiftakar, imma ttestja l-applikazzjoni fuq TCP, mhux b'ping, għax ICMP jista' jaħdem filwaqt li s-servizz ma jaħdimx.
L-għażla tat-traduzzjoni tal-OpenVPN innifsu hija l-aħħar rikors, mibgħuta mis-server f'entrata tad-directory speċifika għall-klijent. Tieħu erba' parametri wara l-isem tal-għażla — direzzjoni, netwerk, netmask u alias — u l-alias mhuwiex fakultattiv: push "route 192.168.2.0 255.255.255.0" u push "client-nat dnat 192.168.2.0 255.255.255.0 192.168.1.0". In-netwerk u n-netmask huma l-firxa li jara l-klijent (192.168.2.0/24), l-alias hija l-firxa vera tal-uffiċċju fuq in-naħa tas-server (192.168.1.0/24), u r-rotta mibgħuta hija dik li tagħmel dik il-firxa viżibbli aċċessibbli. L-uffiċċju mbagħad jidher lil dak il-klijent taħt 192.168.2.x. Iddokumenta l-mapping fil-profil, inkella l-persuna li jmiss se tiddibuggjah bħala ħsara tar-routing.
Li tippubblika servizz wieħed hija l-verżjoni dejqa tat-traduzzjoni, u m'għandhiex bżonn l-għażla tal-OpenVPN xejn. Regola DNAT fuq il-host VPN terġa' tippubblika port wieħed, għalhekk il-LAN iżomm l-indirizzi tiegħu u jilħaq is-servizz fl-indirizz tal-host li diġà jaf. L-ispiża hija dik tas-soltu: is-servizz jara l-host VPN bħala sors, għalhekk il-logs skont il-klijent u t-tfittxijiet inversi ma jibqgħu jfissru xejn. Dan ikopri kju tal-printer wieħed jew paġna amministrattiva waħda, mhux hosts fuq iż-żewġ naħat li jilħqu lil xulxin.
X'xorta xorta ma se jaħdimx, u x'għandek tinnota
Ix-xandir ma jaqsamx tunnel bl-rotot. DLNA, UPnP, l-ibbrawżjar tan-NetBIOS u Wake-on-LAN jiddependu fuq xandir jew multicast li apparat tun ma jġorrx, għalhekk l-ebda rotta ma ssewwi l-iskoperta. Il-pont b'dev tap jestendi s-segment, u miegħu x-xandir tad-DHCP, ARP u kull pakkett ieħor ta' skoperta; ippreferi rotta tal-host unicast bħal route 192.168.2.1 255.255.255.255 għall-indirizz tan-naħa tal-LAN ta' router remot.
Żewġ routers li t-tnejn jużaw 192.168.1.1 fuq l-istess triq jappartjenu għall-istess familja ta' problemi: l-indirizz lokali dejjem jirbaħ, għalhekk il-paġna tar-router imbiegħed tibqa' mhux aċċessibbli sakemm LAN waħda tiċċaqlaq. Iż-żieda ta' tieni adapter ma tbiddel xejn f'ebda każ miż-żewġ każi.
Innota l-evidenza qabel ma tedita xejn: ip route get jew Find-NetRoute, ping -c 3 lejn l-indirizz inkwistjoni, traceroute, u tcpdump -ni tun0 icmp fuq il-klijent, imbagħad it-tabella tar-routing u l-counts tan-NAT fuq is-server. Ping li jaħdem f'direzzjoni waħda u jmut fl-oħra jindika t-triq lura, mhux it-tunnel, u dik id-distinzjoni waħda tiddetermina liema mis-tiswijiet hawn fuq verament għandek bżonn.