Zašto VPN s punim tunelom skriva vaše rutirane lokalne VLAN-ove

Prekidač „dopusti lokalnu mrežu” u VPN klijentu zvuči kao da pokriva sve u zgradi. U praksi obično dodaje nekoliko izuzetaka za privatne adrese na zadanu rutu tunela i tu stane. Vaš skladišni VLAN ostaje dostupan samo ako ruta za taj konkretni prefiks preživi dolazak tunela, a na mnogim klijentima ne preživi.

To je pitanje rutiranja, a ne VPN postavke, što je dobra vijest: ima konkretan odgovor.

Šta dopuštanje lokalne mreže zapravo pokriva

Klijenti tu opciju provode na različite načine. Neki dodaju rute za podmrežu na koju je mašina priključena, neki dodaju raspone RFC 1918, a rijetki isključuju samo zadani gateway. Nijedan od njih ne zna da vaš uredski ruter opslužuje i skladišni VLAN, laboratorijski segment ili podmrežu pisača, jer ti prefiksi nisu na mreži koju klijent može vidjeti. Pročitajte dokumentaciju samog klijenta za točno ponašanje umjesto da pretpostavite da oznaka opisuje vašu topologiju.

Razlika je najvažnija u dizajnu s punim tunelom, gdje klijent namjerno zamjenjuje zadanu rutu kako bi sav promet išao kroz VPN. To je cijela svrha tog dizajna i upravo to čini da lokalne rutirane mreže nestanu. Nikada nisu bile pokrivene vlastitom rutom; vozile su se na zadanoj ruti koja je upravo zamijenjena. Klijent ne može rutirati ono za što ne zna da postoji, a uči samo o prefiksima vezanim za vlastito sučelje. Sve ostalo mora opisati neko ko poznaje topologiju.

Povezane rute staju na prvom ruteru

Radna stanica na 192.168.10.20/24 s gatewayem 192.168.10.1 automatski dobija povezanu rutu za 192.168.10.0/24. Skladišni VLAN na 192.168.20.0/24 drugi je prefiks, dostupan samo kroz taj gateway, a radna stanica nema rutu za njega osim zadane. Prije nego što se tunel podigne, obična zadana ruta šalje skladišni promet na 192.168.10.1 i sve radi.

Kada VPN instalira zadanu rutu punog tunela, paketi za 192.168.20.1 slijede novu zadanu rutu u tunel. Udaljeni gateway nema pojma gdje taj prefiks živi, pa ih odbacuje ili prosljeđuje na beskorisno mjesto. Ništa nije bilo pogrešno konfigurirano na skladišnom VLAN-u; njegova staza bila je posuđena, a zajam je vraćen.

Iskušenje je posegnuti za širokim izuzetkom, poput para ruta /1 ili druge zadane rute. Oduprite se. Što je izuzetak uži, lakše ga je objasniti, provjeriti i ukloniti kada se mreža promijeni.

Stavite izuzetak u tablicu koja pobjeđuje

Unutar jedne tablice rutiranja /24 pobjeđuje /0 ili /1 najduljim podudaranjem prefiksa, pa je konkretna ruta do skladišnog VLAN-a kroz lokalni gateway dovoljna, pod uvjetom da se tablica uopće pregledava. Na Linuxu je uobičajeni oblik kratak:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Rutiranje po pravilima komplicira to jamstvo. Ranije pravilo može poslati promet u tablicu čija vlastita zadana ruta vodi u tunel, a glavna tablica koja drži vaš /24 tada se nikada ne dosegne. Provjerite pravila prije nego što pretpostavite da je ruta mjerodavna, jer ispravno izgledajući unos u pogrešnoj tablici objašnjava kvar koji izgleda kao slomljena ruta.

Zatim učinite unos trajnim kroz mehanizam koji klijent podržava ili kroz mrežnog upravitelja koji posjeduje sučelje. Ruta upisana u prompt nestaje pri sljedećem ponovnom povezivanju, a ruta vezana za jedan Wi-Fi gateway nije prenosiva na sljedeću mrežu koju laptop posjeti.

Imena i pravila ne slijede rute

Popravak rute vraća pakete, ne imena. Ako se lokalni uređaji razrješavaju kroz gurnuti razrješivač koji o njima ne zna ništa, montiranje i dalje ne uspijeva iako je adresa dostupna. Lokalna imena trebaju lokalni ili podijeljeni DNS raspored, a to je odvojena odluka od izuzetka rute.

Pravila su opet odvojena. Filtr lokalnog pristupa VPN klijenta može namjerno zabraniti promet prema privatnim rasponima, a ruta ne nadjačava to pravilo. Na nepouzdanoj mreži privatna adresa također nije dokaz da je odredište vaš skladišni poslužitelj, pa izuzetak treba biti jednako konkretan kao i ruta.

Ugovor koji možete predati

Gotov dizajn treba čitati kao kratak popis: opći internetski promet slijedi tunel, a ovi imenovani lokalni prefiksi zadržavaju svoju stazu kroz lokalni ruter. Zapišite prefikse, sljedeći hop i DNS sufiks koji ide s njima, i držite popis dovoljno kratkim da ga neko može provjeriti bez čitanja tablice rutiranja.

Pazite na preklapanje lokalnih i udaljenih raspona. Skladišni VLAN koji dijeli prefiks s nečim iza VPN-a razriješit će se na rutu koja je specifičnija, a rezultirajuće ponašanje zbunjuje na način koji izgleda isprekidano. Prenumeriranje jedne strane obično je jeftinije od vječitog otklanjanja te dvosmislenosti.

Testirajte ugovor dvaput: jednom s podignutim tunelom i jednom s ugašenim. Ako lokalna staza radi samo u jednom od tih stanja, izuzetak još nije ugovor.