Kvifor ein fulltunnel-VPN skjuler dei ruta lokale VLAN-a dine

«Tillat lokalt nettverk»-brytaren i ein VPN-klient høyrest ut som om han dekkjer alt i bygget. I praksis legg han vanlegvis til nokre få unntak for private adresser på standardruta til tunnelen og stoppar der. Lagrings-VLAN-et ditt er framleis berre tilgjengeleg dersom ei rute for det aktuelle prefikset overlever at tunnelen kjem opp, og på mange klientar gjer ho ikkje det.

Det er eit rutingspørsmål og ikkje ei VPN-innstilling, noko som er gode nyhende: det har eit konkret svar.

Kva «tillat lokalt nettverk» faktisk dekkjer

Klientane implementerer valet ulikt. Nokre legg til ruter for subnettet maskinen er knytt til, nokre legg til RFC 1918-områda, og nokre få utelukkar berre standardgatewayen. Ingen av dei veit at kontorrutaren din òg betener eit lagrings-VLAN, eit labsegment eller eit skrivarnett, fordi desse prefiksa ikkje ligg på nettet klienten kan sjå. Les dokumentasjonen til klienten sjølv for den nøyaktige åtferda i staden for å anta at etiketten skildrar topologien din.

Skilnaden betyr mest i ein fulltunnelkonstruksjon, der klienten med vilje byter ut standardruta slik at all trafikk går gjennom VPN-en. Det er heile poenget med konstruksjonen, og det er òg det som får dei lokalt ruta nettverka til å forsvinne. Dei var aldri dekte av ei eiga rute; dei låg på standardruta som nettopp er bytt ut. Ein klient kan ikkje rute det han ikkje veit finst, og han lærer berre om prefiks som er knytte til sitt eige grensesnitt. Alt anna må skildrast av nokon som kjenner topologien.

Tilkopla ruter stoppar ved den første rutaren

Ein arbeidsstasjon på 192.168.10.20/24 med gateway 192.168.10.1 får automatisk ei tilkopla rute for 192.168.10.0/24. Lagrings-VLAN-et på 192.168.20.0/24 er eit anna prefiks, berre tilgjengeleg gjennom den gatewayen, og arbeidsstasjonen har inga rute for det utover standardruta. Før tunnelen kjem opp, sender den vanlege standardruta lagringstrafikk til 192.168.10.1, og alt fungerer.

Når VPN-en installerer ein fulltunnelstandard, følgjer pakkane for 192.168.20.1 den nye standardruta inn i tunnelen. Den eksterne gatewayen anar ikkje kvar det prefikset bur, så han slepp dei eller vidaresender dei til ein ubrukeleg stad. Ingenting var feilkonfigurert på lagrings-VLAN-et; banen var lånt, og lånet vart kravd tilbake.

Freistinga er å gripe til eit breitt unntak, til dømes eit /1-rutepar eller ei ekstra standardrute. Stå imot. Jo smalare unntaket er, jo lettare er det å forklare, revidere og fjerne når nettet endrar seg.

Legg unntaket i tabellen som vinn

Innanfor éin rutetabell slår eit /24 eit /0 eller /1 ved lengste prefiksmatch, så ei spesifikk rute til lagrings-VLAN-et via den lokale gatewayen er nok, føresett at tabellen i det heile blir konsultert. På Linux er den vanlege forma kort:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Policy-ruting kompliserer den garantien. Ei tidlegare regel kan sende trafikk til ein tabell der standardruta sjølv peikar inn i tunnelen, og hovudtabellen som held /24-en din blir då aldri nådd. Sjekk reglane før du antar at ruta er autoritativ, fordi ein riktig utsjanande oppføring i feil tabell forklarer ein feil som ser ut som ei øydelagd rute.

Deretter gjer du oppføringa varig gjennom mekanismen klienten støttar eller nettverkshandsamaren som eig grensesnittet. Ei rute skriven inn i ledeteksta forsvinn ved neste gjenoppkopling, og ei rute knytt til éin Wi-Fi-gateway er ikkje flyttbar til det neste nettet laptopen besøkjer.

Namn og policy følgjer ikkje ruter

Å fikse ruta gjenopprettar pakkar, ikkje namn. Viss lokale einingar blir slått opp gjennom ein pusja resolver som ikkje veit noko om dei, feilar monteringa framleis sjølv om adressa er tilgjengeleg. Lokale namn treng ei lokal eller delt DNS-ordning, og det er eit eige val frå ruteunntaket.

Policy er igjen noko anna. Eit lokalt tilgangsfilter i ein VPN-klient kan med vilje forby trafikk til private område, og ei rute overstyrer ikkje den regelen. På eit ubetrodd nett er ei privat adresse heller ikkje prov for at målet er lagringsserveren din, så unntaket bør vere like spesifikt som ruta sjølv.

Ein kontrakt du kan overlevere

Det ferdige designet bør lesast som ei kort liste: generell internettrafikk følgjer tunnelen, og desse namngjevne lokale prefiksa held banen sin gjennom den lokale rutaren. Skriv ned prefiksa, neste hopp og DNS-suffikset som høyrer til, og hald lista kort nok til at nokon kan verifisere ho utan å lese ein rutetabell.

Sjå opp for overlapp mellom lokale og eksterne område. Eit lagrings-VLAN som deler prefiks med noko bak VPN-en, blir slått opp til den ruta som er meir spesifikk, og åtferda som følgjer er forvirrande på ein måte som verkar periodisk. Å nummerere om éi side er vanlegvis billegare enn å feilsøkje den tvitydigheita for alltid.

Test kontrakten to gonger: éin gong med tunnelen oppe og éin gong med han nede. Viss den lokale banen berre virkar i éin av tilstandane, er unntaket enno ikkje ein kontrakt.