O adaptador VPN mostra /32: isso não significa um único destino

Os adaptadores mostram 255.255.255.255, e muitas vezes conclui-se que a VPN alcança exatamente um endereço. Essa leitura confunde o endereço do próprio cliente com o conjunto de destinos encaminhados pelo túnel. Numa interface ponto a ponto ou encaminhada, as duas coisas são objetos diferentes, e só uma delas limita a alcançabilidade. O mito sobrevive porque a máscara se parece com a máscara de sub-rede que as pessoas aprenderam no Ethernet.

O mito: uma máscara de host significa um único host alcançável

Uma atribuição /32 diz à interface qual endereço pertence a esta ponta do enlace, e num enlace ponto a ponto é tudo o que significa. O endereço do par é um campo separado, e as rotas que dizem o que está além do par são novamente separadas. Nada na máscara descreve a rede remota, porque a máscara não é o lugar onde as redes remotas são descritas. Lê-la como limite de alcance é como ler o número da própria casa como uma lista de todos os endereços que pode visitar.

A confusão tem uma raiz real: no Ethernet, uma máscara de host significaria mesmo um único endereço nesse segmento. Um túnel não é um segmento Ethernet, e o que passa por ele é decidido pela tabela de rotas do cliente, não pela máscara. Por isso o mesmo /32 pode estar diante de um centro de dados inteiro.

Leia o endereço e as rotas como objetos separados

Imprima a interface e a tabela juntas, e depois leia-as como duas respostas a duas perguntas. O endereço responde quem é esta ponta; as rotas respondem para onde o tráfego pode ir. Uma terceira pergunta, quais destinos o gateway permite, não é visível de forma alguma no cliente. A referência de endereços do iproute2 descreve separadamente os campos de endereço local, par e rota de prefixo exatamente por isso.

ip addr show tun0
ip route show
ip route get 10.60.5.10

No Windows existe a mesma separação entre a lista de endereços e a tabela de rotas, e o comando de consulta é a forma mais rápida de ver qual vence para um destino específico. Se a consulta devolver a interface do túnel, o cliente enviará o pacote para lá. Se devolver o adaptador físico, o cliente nunca pergunta à VPN, e nenhuma permissão do lado do servidor mudará isso. Verifique o destino de que realmente precisa, não um endereço público genérico.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Pare se a consulta apontar para a interface errada. Isso é um problema de encaminhamento do cliente, e corrige-se no cliente.

Por que alargar a máscara costuma piorar

Mudar a atribuição para uma /24 para parecer a LAN do escritório pode criar um prefixo no enlace: o kernel agora acredita que todo o /24 está ligado diretamente à interface do túnel. O tráfego para endereços que deviam ser encaminhados pelo gateway passa então a ser enviado como se houvesse um vizinho no enlace. O resultado é um buraco negro que se parece com uma falha do servidor.

Também esconde o problema real, que é uma rota em falta ou uma permissão em falta no gateway. Nenhuma das duas é criada por uma máscara mais larga, e ambas sobrevivem à mudança. Se o desenho exigir um prefixo maior na interface, essa é uma decisão para o modelo de interface em uso, tomada com a documentação na mão. Copiar uma máscara das capturas de ecrã de outro produto não é essa decisão.

Se falta a rota do prefixo remoto, corrija o seu aprovisionamento. Se estiver presente e a ligação continuar a ser recusada, a máscara nunca foi o diagnóstico.

Quando a rota está certa e o fluxo continua a falhar

Uma rota correta só prova que o cliente enviará o pacote. O gateway ainda tem de aceitar o destino, o caminho de volta tem de existir para o endereço atribuído, e o serviço tem de permitir o fluxo. Teste esses três em separado: a consulta no cliente, o alcance permitido do gateway e um pedido a um servidor necessário. Que a autenticação tenha êxito antes de os três estarem no lugar é normal, e é por isso que um cliente ligado pode continuar a não alcançar nada.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Mantenha os objetos de rede e as permissões de grupo junto do seu proprietário num serviço gerido por um equipamento. O que se diz ao cliente para alcançar e o que lhe é permitido usar são definições diferentes, muitas vezes em ecrãs diferentes. Mudar uma e testar a outra é como um ticket salta entre duas equipas.

O mito a reformar é que a máscara seja um limite de alcance. Leia o endereço, as rotas e a política do gateway como três factos separados, e um /32 deixa de parecer uma restrição e começa a parecer uma atribuição normal de túnel.