Kopiowanie /32 tunelu nie kieruje podsieci biura

VPN się łączy, interfejs pokazuje adres z maską trzydziestu dwóch bitów, a serwer biurowy pozostaje nieosiągalny. Następnym krokiem bywa ponowne użycie tej maski w trasie, w myśl teorii, że interfejs opisuje, co tunel może osiągnąć. Nie opisuje. Ten adres opisuje lokalny koniec łącza punkt-punkt, a interesujący cię cel znajduje się w innym prefiksie po drugiej stronie.

Miesza się dwie różne rzeczy: adres, który dał ci tunel, i sieć, do której chcesz dotrzeć przez niego.

Dwa adresy, dwa zadania

W tunelu punkt-punkt adres klienta jest często pojedynczym adresem hosta, ponieważ na drugim końcu łącza jest dokładnie jeden partner. Nie ma wspólnego segmentu ani ARP, więc maska, która na Ethernecie wyglądałaby absurdalnie, tutaj jest całkowicie normalna.

Prefiks celu jest faktem o sieci biurowej, nie o tunelu. Jeśli potrzebujesz jednego serwera, trasa jest trasą hosta do tego serwera. Jeśli potrzebujesz całej podsieci biura, trasa jest podsiecią. Żadnej z tych odpowiedzi nie da się odczytać z interfejsu, a wybranie jednej dlatego, że pojawiła się obok adresu tunelu, jest sposobem na zepsucie działającej konfiguracji.

Ten trzeci wiersz to miejsce, w którym optymizm staje się awarią. Kierowanie całego zakresu prywatnego do tunelu, który obsługuje tylko jedną lokalizację, wpycha niezwiązany ruch na ścieżkę, która nie może go dostarczyć, a wynikające z tego błędy wyglądają jak zepsuty VPN, a nie zbyt szeroka trasa.

Wybierz prefiks z wymagania

Przed dotknięciem profilu zapisz wymaganie jako zdanie: które hosty muszą być osiągalne i jaki jest najwęższy prefiks, który je obejmuje? Jeden serwer to trasa hosta. Podsieć to trasa podsieci. Zakres podsieci to podsumowanie, a podsumowanie jest obietnicą, że każdy adres w środku jest osiągalny, co rzadko jest prawdą.

Następnie sprawdź liczbę względem tego, czego biuro faktycznie używa. Kopiowanie prefiksu z wiadomości czatu bez potwierdzenia go w planie adresowania witryny to sposób, w jaki trasa kończy wskazywaniem na podsieć, której nikt nie posiada.

Pamiętaj też, że trasa to ścieżka, a nie uprawnienie. Brama nadal decyduje, czy twój klient może użyć celu, a usługa nadal może ci odmówić. Poprawne zainstalowanie trasy doprowadza pakiet na miejsce i nic nie odpowiada o autoryzacji.

Dodawaj do profilu, nigdy go nie zastępuj

Trasy w profilu NetworkManager są właściwością wielowartościową, a różnica między ustawianiem a dodawaniem to jeden znak. Użyj formy z plusem, aby dodać wpis i zachować wszystko, co już zapisano.

nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
  +ipv4.routes "10.40.20.9/32"

Bez plusa przypisanie zastępuje całą listę. W profilu, który już niesie kilka prefiksów, po cichu usuwa te, które działały, a objaw pojawia się później jako usługa, która wcześniej była osiągalna z tego laptopa.

Użyj UUID zamiast nazwy. Nazwy są duplikowane po przywróceniu, a połączenie, które edytujesz, może nie być tym, które przenosi twój ruch. Najpierw sprawdź, czy istnieje identyczny wpis, ponieważ dodawanie duplikatu jest nieporządne, nawet gdy jest nieszkodliwe.

Ta referencja właściwości tras dokumentuje cel, opcjonalny następny skok, metrykę i składnię atrybutów dla zainstalowanej wersji. Przeczytaj ją przed dodaniem następnego skoku, ponieważ to, czy jest potrzebny, zależy od integracji i topologii, a zgadywanie go z pierwszego adresu na liście interfejsów nie jest metodą.

Trasa domyślna i DNS to osobne decyzje

Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.

Trasy automatyczne to druga rzecz, której nie należy lekceważyć. Ich tłumienie, aby rozwiązać jeden brakujący wpis, może usunąć kilka działających, a osoba, która to zasugerowała, zwykle patrzyła na inny profil z innymi pushami.

DNS ma własną ścieżkę i własne awarie. Nazwa, która rozwiązuje się na właściwy adres przez niewłaściwy resolver, lub resolver, który nie potrafi odpowiedzieć dla strefy prywatnej, będzie wyglądać jak problem z routingiem, podczas gdy trasa jest idealna. Przetestuj adres i nazwę osobno, a potem zdecyduj, która warstwa naprawdę zawiodła.

Sprawdź, co zostało zastosowane

Zapisana zmiana nie jest zastosowaną zmianą. Połącz się ponownie przez obsługiwany cykl życia menedżera, a następnie spójrz na rzeczywistą trasę do zamierzonego celu i na reguły polityki, które decydują, która tabela jest sprawdzana.

Jeśli prefiks istnieje, a połączenie nadal zawodzi, przeszedłeś do innego problemu: wybór adresu źródłowego, trasa powrotna na drugim końcu lub usługa, która odrzuca twojego klienta. Każde z nich to lepsze miejsce do sprawdzenia niż profil, który już poprawiłeś.