Dajte LAN hostovima povratnu rutu VPN-a putem DHCP opcije 121

Udaljeni VPN klijenti se povezuju, LAN server odgovara, a odgovor izlazi kroz obični internet ruter i tu umire. Jedan server se može popraviti statičkom rutom, ali ceo podmrežni skup njih bolje je rešiti tamo gde već dobijaju svoju mrežnu konfiguraciju. DHCPv4 opcija 121 distribuira upravo takvu rutu do odredišta, i to je deo koji ljudi obično pogreše čim zaborave podrazumevanu rutu. Simptom je jednosmerni saobraćaj: zahtevi stižu, a odgovori nestaju.

Prvo imenujte tri adrese

Uzmite konkretnu LAN mrežu: 192.168.50.0/24 sa uobičajenim podrazumevanim ruterom na 192.168.50.1 i odvojenim VPN gatewayem na 192.168.50.2. Autentifikovani udaljeni klijenti zauzimaju 10.90.0.0/24.

Ruta koja treba svakom hostu učesniku je 10.90.0.0/24 via 192.168.50.2. Odredište je skup klijenata, a sledeći skok je LAN adresa gatewaya, a ne njegova adresa u tunelu.

Kodirajte je kao besklasnu statičku rutu

Opcija 121 nosi parove prefiksa i sledećeg skoka, a RFC 3442 definiše i kodiranje i ponašanje klijenta koje iz toga sledi. Za postojeću dnsmasq instancu koja služi samo ovoj ilustrativnoj LAN mreži, oblik konfiguracije je:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

To je fragment, a ne nova DHCP usluga. Na serveru koji opslužuje nekoliko segmenata, ograničite opciju oznakama ili mrežnom politikom koju već koristite. Držite prethodnu konfiguraciju pri ruci, jer vraćanje unazad znači još jedno obnavljanje zakupa, a ne restart.

Ne izgubite podrazumevanu rutu

To je zamka. Klijent koji primi opciju 121 mora zanemariti običnu Router opciju, pa oglašavanje samo rute VPN skupa može ostaviti taj host potpuno bez podrazumevane rute. Mašina i dalje izgleda konfigurisano i tiho gubi internet. Korisnici to opisuju kao da je mreža pala dok su svi interfejsi podignuti.

Uključite željenu podrazumevanu rutu na istu listu, kao što gornji fragment čini. Zadržite i običnu Router opciju za klijente koji ne implementiraju besklasne rute; serverovo vlastito rukovanje opcijama odlučuje šta se kome šalje.

Proverite šta će klijent prihvatiti

Host sa ručno dodeljenom adresom to nikada ne preuzme, jer ne traži zakup. Podrška kod klijenata takođe varira, pa testirajte na operativnom sistemu koji zaista koristite umesto da pretpostavite da svaki uređaj poštuje opciju 121. Proverite s onima koji poseduju te servere koji su statički adresirani. Ti hostovi trebaju vlastite unose ruta ili jednostavno neće učestvovati.

Upravljane DHCP usluge su još jedno ograničenje. Neke cloud mreže ne dozvoljavaju administratorima objavljivanje proizvoljnih opcija, a konkurentski DHCP server na istom segmentu gori je od nikakve opcije.

Proverite zakup, zatim pretragu

Neka vlasnik DHCP-a primeni promenu, a zatim obnovite zakup na klijentu. Postojeći zakupi zadržavaju staru konfiguraciju dok se ne obnove, pa trenutni rezultati nisu zagarantovani.

Na Linux klijentu pročitajte stvarne rute i potvrdite oba unosa:

ip -4 route
ip -4 route get 10.90.0.23

Kontekstna pretraga treba da pokaže rutu skupa kroz 192.168.50.2 i podrazumevanu kroz 192.168.50.1. Ako podrazumevana nedostaje, reprodukovali ste gornju zamku.

Zatim testirajte stvarnu razmenu

Distribucija ruta nije ceo put. Odvojeni gateway i dalje treba prosleđivanje, vlasništvo nad udaljenim peerovima i politiku pristupa koja dozvoljava server, a DHCP nikoga ne autentifikuje.

Na kraju, imajte plan uklanjanja. Naučena statička ruta se ne povlači sama kad VPN padne, pa zastareo sledeći skok može pretvoriti taj prefiks u crnu rupu mnogo nakon što tunela više nema.