VPN-adapteren viser /32: det tyder ikkje éin destinasjon

Adapterar viser 255.255.255.255, og konklusjonen er ofte at VPN-et kan nå nøyaktig éi adresse. Den lesinga forvekslar klienten si eiga adresse med settet av destinasjonar som blir ruta gjennom tunnelen. På eit punkt-til-punkt- eller ruta grensesnitt er dei to ulike objekt, og berre eitt av dei avgrensar nåbarheita. Myten overlever fordi maska ser ut som subnettmaska folk lærte på Ethernet.

Myten: ei vertsmaske tyder éin nåbar vert

Ei /32-tildeling fortel grensesnittet kva adresse som høyrer til denne enden av sambandet, og på eit punkt-til-punkt-samband er det alt ho tyder. Adressa til partnaren er eit eige felt, og rutene som seier kva som ligg bak partnaren, er igjen eigne. Ingenting i maska skildrar det fjerne nettet, fordi maska ikkje er staden der fjerne nett blir skildra. Å lese ho som ei nåbarheitsgrense er som å lese sitt eige husnummer som ei liste over alle adressene ein har lov til å vitje.

Forvirringa har ei reell rot: på Ethernet ville ei vertsmaske verkeleg tyde éi einskild adresse på det segmentet. Ein tunnel er ikkje eit Ethernet-segment, og kva som går gjennom han blir avgjort av rutetabellen til klienten, ikkje maska. Difor kan den same /32 stå framfor eit heilt datasenter.

Les adressa og rutene som separate objekt

Skriv ut grensesnittet og tabellen saman, og les dei deretter som to svar på to spørsmål. Adressa svarar på kven denne enden er; rutene svarar på kvar trafikken kan gå. Eit tredje spørsmål, kva destinasjonar gatewayen tillèt, er ikkje synleg i det heile på klienten. Adressereferansen for iproute2 skildrar felta for lokal adresse, partnar og prefiksrute kvar for seg nettopp av denne grunnen.

ip addr show tun0
ip route show
ip route get 10.60.5.10

På Windows finst den same oppdelinga mellom adresselista og rutetabellen, og oppslagskommandoen er den snøggaste måten å sjå kva som vinn for ein bestemt destinasjon. Viss oppslaget returnerer tunellgrensesnittet, sender klienten pakken dit. Viss det returnerer den fysiske adapteren, spør klienten aldri VPN-et, og inga løyve på serversida endrar det. Kontroller destinasjonen du faktisk treng, ikkje ei generisk offentleg adresse.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Stopp viss oppslaget peikar på feil grensesnitt. Det er eit ruteproblem på klienten, og det blir retta på klienten.

Kvifor ei breiare maske vanlegvis gjer det verre

Å endre tildelinga til ein /24 for å sjå ut som LAN-et på kontoret kan skape eit prefiks på sambandet: kjernen trur no at heile /24-et er direkte kopla til tunellgrensesnittet. Trafikk til adresser som burde bli ruta gjennom gatewayen, blir då send som om ein nabo var på sambandet. Resultatet er eit svart hol som ser ut som eit serverutfall.

Det skjuler òg det eigentlege problemet, nemleg ei manglande rute eller eit manglande løyve på gatewayen. Ingen av dei blir skapte av ei breiare maske, og begge overlever endringa. Viss designet treng eit større prefiks på grensesnittet, er det ei avgjerd for grensesnittmodellen som blir brukt, teken med dokumentasjonen i handa. Å kopiere ei maske frå skjermbilete av eit anna produkt er ikkje den avgjerda.

Viss ruta for det fjerne prefikset manglar, rett opp provisjoneringa av ho. Viss ho finst og sambandet framleis blir avvist, var maska aldri diagnosen.

Når ruta er rett og flyten likevel feilar

Ei rett rute beviser berre at klienten vil sende pakken. Gatewayen må framleis godta destinasjonen, returvegen må finnast for den tildelte adressa, og tenesta må tillate flyten. Test desse tre kvar for seg: oppslaget på klienten, det tillatne omfanget til gatewayen og ein førespurnad til éin nødvendig server. At autentiseringa lykkast før alle tre er på plass, er normalt, og difor kan ein tilkopla klient framleis ikkje nå noko.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Hald nettverksobjekt og gruppeløyve hos eigaren deira på ei teneste som blir styrt av eit apparat. Det klienten blir fortald å nå, og det han har lov til å bruke, er ulike innstillingar, ofte på ulike skjermar. Å endre det eine og teste det andre er korleis ei sak hoppar mellom to team.

Myten som bør pensjonerast, er at maska er ei nåbarheitsgrense. Les adressa, rutene og gateway-politikken som tre separate fakta, og ein /32 sluttar å sjå ut som ei avgrensing og byrjar å sjå ut som ei normal tunelltildeling.