Adapter VPN pokazuje /32: to nie oznacza jednego celu

Adaptery pokazują 255.255.255.255, a wniosek bywa taki, że VPN dociera dokładnie do jednego adresu. Taki odczyt myli adres samego klienta ze zbiorem celów trasowanych przez tunel. Na interfejsie punkt-punkt lub trasowanym to dwa różne obiekty, a osiągalność ogranicza tylko jeden z nich. Mit przetrwał, bo maska wygląda jak maska podsieci, której uczono się w Ethernet.

Mit: maska hosta oznacza jeden osiągalny host

Przydział /32 mówi interfejsowi, który adres należy do tego końca łącza, a na łączu punkt-punkt to wszystko, co znaczy. Adres partnera to osobne pole, a trasy mówiące, co leży za partnerem, są znowu osobne. Nic w masce nie opisuje sieci zdalnej, bo maska nie jest miejscem, w którym opisuje się sieci zdalne. Czytanie jej jako granicy osiągalności to jak czytanie własnego numeru domu jako listy wszystkich adresów, które wolno odwiedzić.

Zamieszanie ma realny korzeń: w Ethernet maska hosta naprawdę oznaczałaby jeden adres w tym segmencie. Tunel nie jest segmentem Ethernet, a o tym, co przez niego przechodzi, decyduje tabela tras klienta, nie maska. Dlatego ten sam /32 może stać przed całym centrum danych.

Czytaj adres i trasy jako osobne obiekty

Wydrukuj interfejs i tabelę razem, a potem czytaj je jako dwie odpowiedzi na dwa pytania. Adres odpowiada, kim jest ten koniec; trasy odpowiadają, dokąd może iść ruch. Trzecie pytanie, jakie cele dopuszcza brama, w ogóle nie jest widoczne na kliencie. Dokumentacja adresów iproute2 właśnie dlatego opisuje osobno pola adresu lokalnego, partnera i trasy prefiksu.

ip addr show tun0
ip route show
ip route get 10.60.5.10

W Windows to samo rozdzielenie istnieje między listą adresów a tabelą tras, a polecenie wyszukiwania jest najszybszym sposobem sprawdzenia, które wygrywa dla konkretnego celu. Jeśli wyszukiwanie zwróci interfejs tunelu, klient wyśle tam pakiet. Jeśli zwróci adapter fizyczny, klient nigdy nie pyta VPN, i żadne uprawnienie po stronie serwera tego nie zmieni. Sprawdź cel, którego naprawdę potrzebujesz, a nie ogólny adres publiczny.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Zatrzymaj się, jeśli wyszukiwanie wskazuje zły interfejs. To problem trasowania po stronie klienta i naprawia się go na kliencie.

Dlaczego poszerzenie maski zwykle pogarsza sprawę

Zmiana przydziału na /24, aby wyglądał jak LAN biurowy, może utworzyć prefiks na łączu: jądro wierzy teraz, że cały /24 jest podłączony bezpośrednio do interfejsu tunelu. Ruch do adresów, które powinny być trasowane przez bramę, jest wtedy wysyłany tak, jakby sąsiad był na łączu. Wynikiem jest czarna dziura, która wygląda jak awaria serwera.

Ukrywa też prawdziwy problem, czyli brakującą trasę lub brakujące uprawnienie na bramie. Żadnego z nich nie tworzy szersza maska, a oba przetrwają zmianę. Jeśli projekt wymaga większego prefiksu na interfejsie, to decyzja dla używanego modelu interfejsu, podejmowana z dokumentacją w ręku. Kopiowanie maski ze zrzutów ekranu innego produktu nie jest tą decyzją.

Jeśli brakuje trasy prefiksu zdalnego, napraw jej utrzymanie. Jeśli jest, a połączenie wciąż jest odrzucane, maska nigdy nie była diagnozą.

Gdy trasa jest poprawna, a przepływ nadal zawodzi

Poprawna trasa dowodzi tylko, że klient wyśle pakiet. Brama nadal musi zaakceptować cel, droga powrotna musi istnieć dla przydzielonego adresu, a usługa musi zezwalać na przepływ. Sprawdź te trzy rzeczy osobno: wyszukiwanie na kliencie, dozwolony zasięg bramy i żądanie do jednego potrzebnego serwera. To, że uwierzytelnianie się udaje, zanim wszystkie trzy są na miejscu, jest normalne, i dlatego podłączony klient wciąż może do niczego nie dotrzeć.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Trzymaj obiekty sieciowe i uprawnienia grup przy ich właścicielu w usłudze zarządzanej przez urządzenie. To, do czego klient ma dotrzeć, i to, czego wolno mu używać, to różne ustawienia, często na różnych ekranach. Zmiana jednego i testowanie drugiego to sposób, w jaki zgłoszenie odbija się między dwoma zespołami.

Mit, który należy wysłać na emeryturę, mówi, że maska jest granicą osiągalności. Czytaj adres, trasy i politykę bramy jako trzy osobne fakty, a /32 przestaje wyglądać jak ograniczenie i zaczyna wyglądać jak zwykły przydział tunelu.