Lokalne urządzenia znikają w VPN: trzy osobne awarie

Drukarka, która znika z listy urządzeń po włączeniu VPN, może nadal odpowiadać pod swoim adresem. Listę wypełnia wykrywanie, nazwa może pochodzić z resolvera, a do samej usługi dociera się przez gniazdo, i te trzy mogą zawieść niezależnie. Porównanie tego, co działa na każdej warstwie, pokazuje, którą funkcję zmienić. Jeśli najpierw włączysz wszystkie wyjątki dostępu lokalnego, usuniesz dowody.

To różnica między urządzeniem, którego brakuje, a urządzeniem, które po prostu nie jest ogłaszane.

Wykrywanie, nazwy i osiągalność to trzy warstwy

Protokoły wykrywania opierają się na multicast lub broadcast, a te domyślnie nie przechodzą przez rutowany tunel, dlatego urządzenie może zniknąć z listy, pozostając całkowicie osiągalnym. Rozwiązywanie nazw to druga warstwa: VPN może zmienić resolver, a nazwa, na którą wcześniej odpowiadała sieć lokalna, może teraz być rozwiązywana gdzie indziej albo wcale. Osiągalność to trzecia: trasa, reguła zapory i usługa nasłuchująca. Każda warstwa może się zepsuć, gdy pozostałe dwie są w porządku.

Testuj je od dołu do góry. Jedno sprawdzenie osiągalności czyni podział oczywistym: nc -vz 192.168.1.20 443 albo się udaje, co oznacza, że ścieżka i usługa są w porządku, a podejrzaną jest nazwa, albo zawodzi, co przenosi pytanie do routingu i polityki. Potem zapytaj o nazwę. Pierwsza awaria, na którą trafisz, to warstwa, nad którą trzeba pracować, a warstwy wyżej nie mogą jej zrekompensować.

Najpierw pytaj o adres, potem o nazwę hosta

Jeśli adres odpowiada, a nazwa nie, problem leży w rozwiązywaniu, a nie w routingu. Klient VPN, który instaluje własny resolver, może zmienić, który serwer odpowiada na nazwy lokalne, a ten, który nie przekazuje domeny lokalnej, zostawia nazwę bez odpowiedzi. Jeśli adres też zawodzi, problemem jest ścieżka: trasa domyślna przez tunel, blokada ruchu lokalnego po stronie klienta albo reguła zapory, która dopuszcza tylko interfejs fizyczny.

Jeśli oba działają, ale automatyczne wykrywanie nie, urządzenie po prostu nie ogłasza się przez tunel. To oczekiwane zachowanie wykrywania opartego na multicast, a nie błąd konfiguracji. Dodanie urządzenia po adresie to zwykle uczciwe rozwiązanie.

Co naprawdę zmienia przełącznik dostępu lokalnego

Ustawienie dostępu do sieci lokalnej zwykle pozwala ruchowi do bezpośrednio podłączonej podsieci omijać tunel i robi różne rzeczy w różnych klientach. Nie konfiguruje przekazywania do zdalnego biura i nie zmienia zapory hosta ani własnych uprawnień aplikacji. Nie czyni też nakładającej się podsieci jednoznaczną. Przeczytaj dokumentację klienta, co obejmuje to ustawienie, zanim włączysz je szeroko.

Wąski wyjątek dla jednego zaufanego urządzenia jest lepszy niż ogólne zezwolenie, zwłaszcza w sieci gościnnej, gdzie blokada może być celowa. Prywatny adres nie jest kontrolą tożsamości, więc wybór zależy od sieci, w której jesteś.

Gdy sieci się nakładają

Jeśli sieć domowa i zdalna używają tego samego zakresu, routing staje się niejednoznaczny i nie rozwiązuje tego ani przełącznik dostępu lokalnego, ani wyjątek. Dwie usługi pod tym samym adresem nie mogą być obie osiągalne, a to, która wygra, zależy od specyficzności trasy i kolejności, a nie od intencji. Rozwiązaniem jest planowanie adresów, a nie ustawienie klienta. Sprawdź zakresy, zanim spędzisz wieczór przy drukarce.

Dla urządzenia za zdalną bramą przekazywanie, polityka hosta i trasa powrotna należą do operatora. Lokalne pole wyboru w kliencie nie może dostarczyć żadnego z nich, a proszenie o to jest bardziej produktywne niż eksperymentowanie z przełącznikami.

Zapisz, która warstwa zawiodła i co zmieniłeś. Następne urządzenie zawiedzie w jednym z tych samych trzech miejsc.