Копирование /32 туннеля не направит подсеть офиса
Адрес, который VPN выдаёт вашему адаптеру, описывает канал, а не пункт назначения. Добавьте префикс ресурса в профиль и оставьте маршрут по умолчанию в покое.
VPN подключается, интерфейс показывает адрес с маской в тридцать два бита, а офисный сервер остаётся недоступным. Следующий шаг часто состоит в том, чтобы повторно использовать эту маску в маршруте, в предположении, что интерфейс описывает, куда может добраться туннель. Не описывает. Этот адрес описывает локальный конец соединения точка-точка, а интересующий вас пункт назначения находится в другом префиксе по ту сторону.
Смешиваются две разные вещи: адрес, который туннель дал вам, и сеть, до которой вы хотите добраться через него.
Два адреса, две задачи
В туннеле точка-точка адрес клиента часто является единственным адресом хоста, потому что на другом конце канала ровно один партнёр. Общего сегмента и ARP здесь нет, поэтому маска, которая на Ethernet выглядела бы абсурдно, здесь совершенно нормальна.
Префикс назначения — это факт об офисной сети, а не о туннеле. Если вам нужен один сервер, маршрут — это маршрут хоста для этого сервера. Если вам нужна вся офисная подсеть, маршрут — это подсеть. Ни один из этих ответов нельзя прочитать с интерфейса, и выбор одного из них только потому, что он оказался рядом с адресом туннеля, — это способ сломать работающую конфигурацию.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Третья строка — это место, где оптимизм превращается в простой. Маршрутизация всего частного диапазона в туннель, обслуживающий только одну площадку, выталкивает посторонний трафик на путь, который не может его доставить, и возникающие сбои выглядят как сломанный VPN, а не как слишком широкий маршрут.
Выберите префикс из требования
Запишите требование предложением, прежде чем трогать профиль: какие хосты должны быть доступны и какой самый узкий префикс их покрывает? Один сервер — это маршрут хоста. Подсеть — это маршрут подсети. Диапазон подсетей — это сводка, а сводка — это обещание, что каждый адрес внутри неё доступен, что редко бывает правдой.
Затем сверьте число с тем, что офис действительно использует. Копирование префикса из сообщения в чате без сверки с планом адресации площадки — это способ, которым маршрут в итоге указывает на подсеть, которой никто не владеет.
Помните также, что маршрут — это путь, а не разрешение. Шлюз по-прежнему решает, может ли ваш клиент использовать пункт назначения, и служба по-прежнему может вам отказать. Правильная установка маршрута доставляет пакет туда и ничего не отвечает об авторизации.
Добавляйте в профиль, никогда не заменяйте его
Маршруты в профиле NetworkManager — это многозначное свойство, и разница между установкой и добавлением — один символ. Используйте форму с плюсом, чтобы добавить запись и сохранить всё уже сохранённое.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Без плюса присваивание заменяет весь список. В профиле, который уже несёт несколько префиксов, это молча удаляет работавшие, и симптом приходит позже в виде службы, которая раньше была доступна с этого ноутбука.
Используйте UUID, а не имя. Имена дублируются после восстановления, и соединение, которое вы редактируете, может быть не тем, что несёт ваш трафик. Сначала проверьте, нет ли уже идентичной записи, потому что добавление дубликата неаккуратно, даже когда безвредно.
Эта справка по свойствам маршрутов документирует пункт назначения, необязательный следующий шаг, метрику и синтаксис атрибутов для установленной версии. Прочитайте её перед добавлением следующего шага, потому что его необходимость зависит от интеграции и топологии, а угадывание по первому адресу в списке интерфейсов — не метод.
Маршрут по умолчанию и DNS — отдельные решения
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Автоматические маршруты — это второе, что не стоит трогать небрежно. Их подавление ради решения одной отсутствующей записи может убрать несколько работающих, и человек, который это предложил, обычно смотрел на другой профиль с другими push.
У DNS свой путь и свои сбои. Имя, которое разрешается в правильный адрес через неправильный резолвер, или резолвер, который не может ответить за частную зону, будет выглядеть как проблема маршрутизации, хотя маршрут безупречен. Проверьте адрес и имя отдельно, затем решите, какой уровень на самом деле отказал.
Проверьте, что было применено
Сохранённое изменение — не применённое изменение. Переподключитесь через поддерживаемый жизненный цикл менеджера, затем посмотрите на фактический маршрут к нужному пункту назначения и на правила политики, которые решают, какая таблица используется.
Если префикс на месте, а соединение всё ещё не работает, вы перешли к другой проблеме: выбор адреса источника, обратный маршрут на дальнем конце или служба, которая отказывает вашему клиенту. Каждое из этого — лучшее место для поиска, чем профиль, который вы уже исправили.