Lokale apparaten verdwijnen op de VPN: drie afzonderlijke fouten

Een printer die uit de apparatenlijst verdwijnt wanneer de VPN opkomt, kan nog steeds op zijn adres reageren. De lijst wordt gevuld door ontdekking, de naam kan van een resolver komen en de dienst zelf wordt via een socket bereikt, en de drie kunnen onafhankelijk van elkaar falen. Vergelijken wat op elke laag werkt, vertelt je welke functie je moet wijzigen. Als je eerst alle uitzonderingen voor lokale toegang aanzet, verwijder je het bewijs.

Dat is het verschil tussen een apparaat dat ontbreekt en een apparaat dat simpelweg niet wordt aangekondigd.

Ontdekking, namen en bereikbaarheid zijn drie lagen

Ontdekkingsprotocollen leunen op multicast of broadcast, en die passeren standaard geen gerouteerde tunnel, waardoor een apparaat uit een lijst kan verdwijnen terwijl het volledig bereikbaar blijft. Naamresolutie is een tweede laag: een VPN kan de resolver wijzigen, en een naam die voorheen door het lokale netwerk werd beantwoord, kan nu elders of helemaal niet worden beantwoord. Bereikbaarheid is de derde: een route, een firewallregel en een luisterende dienst. Elke laag kan breken terwijl de andere twee in orde zijn.

Test ze van onderaf. Eén bereikbaarheidscontrole maakt de splitsing duidelijk: nc -vz 192.168.1.20 443 slaagt, wat betekent dat het pad en de dienst in orde zijn en de naam de verdachte is, of mislukt, wat de vraag naar routing en beleid verschuift. Vraag dan de naam. De eerste fout die je tegenkomt, is de laag om aan te werken, en de lagen erboven kunnen die niet compenseren.

Vraag eerst het adres, dan de hostnaam

Als het adres antwoordt en de naam niet, is het probleem resolutie en niet routing. Een VPN-client die zijn eigen resolver installeert, kan wijzigen welke server lokale namen beantwoordt, en een die het lokale domein niet doorstuurt, laat de naam onbeantwoord. Als het adres ook faalt, is het pad het probleem: een standaardroute door de tunnel, een blokkade van lokaal verkeer aan de clientzijde of een firewallregel die alleen de fysieke interface toestaat.

Als beide werken maar automatische ontdekking niet, kondigt het apparaat zich simpelweg niet aan via de tunnel. Dat is verwacht gedrag voor op multicast gebaseerde ontdekking, geen configuratiefout. Het apparaat op adres toevoegen is meestal de eerlijke oplossing.

Wat de schakelaar voor lokale toegang werkelijk verandert

Een instelling voor toegang tot het lokale netwerk staat meestal toe dat verkeer naar het direct aangesloten subnet de tunnel omzeilt, en ze doet verschillende dingen in verschillende clients. Ze configureert geen doorsturing naar een extern kantoor en wijzigt niet de firewall van de host of de eigen rechten van de toepassing. Ze maakt een overlappend subnet ook niet ondubbelzinnig. Lees de documentatie van de client over wat de instelling dekt voordat je haar breed inschakelt.

Een smalle uitzondering voor één vertrouwd apparaat is beter dan een algemene toestemming, vooral op een gastnetwerk waar de blokkade opzettelijk kan zijn. Een privéadres is geen identiteitscontrole, dus de keuze hangt af van het netwerk waarop je zit.

Wanneer de netwerken overlappen

Als het thuisnetwerk en het externe netwerk dezelfde reeks gebruiken, wordt routing dubbelzinnig en lossen noch een schakelaar voor lokale toegang noch een uitzondering dat op. Twee diensten op hetzelfde adres kunnen niet beide worden bereikt, en welke wint hangt af van routespecificiteit en volgorde, niet van bedoeling. De oplossing is adresplanning, geen clientinstelling. Controleer de reeksen voordat je een avond aan de printer besteedt.

Voor een apparaat achter de externe gateway bezit de operator de doorsturing, het hostbeleid en de retourroute. Een lokaal selectievakje in de client kan daar niets van leveren, en erom vragen is productiever dan experimenteren met schakelaars.

Noteer welke laag faalde en wat je hebt gewijzigd. Het volgende apparaat zal op een van dezelfde drie plaatsen falen.