Nijedna ruta ne popravlja VPN bazen koji se preklapa s vašim LAN-om

Aplikacija tvrdi da je tunel zdrav, a ipak polovina odredišta koja su vam potrebna nikada ne odgovori. Refleks je dodati rutu ili sniziti metriku, i upravo taj refleks je mit koji prvi treba ubiti. Kada klijentov vlastiti LAN i bazen tunela polažu pravo na isti prefiks, routing tablica drži dvije nepomirljive činjenice, a ni zadana ruta ni metrika ih ne rješavaju. Popravak je odluka o adresiranju, i nijedno uređivanje ruta ga ne zamjenjuje.

Zašto dodatna ruta ne može razdvojiti jedan prefiks

Ruta ne može razdvojiti dva zahtjeva na jednom prefiksu, zato je razuman potez prestati tražiti pravi redak rute. Sloj neće staviti identičan prefiks ispred povezane rute, a specifičniji unos doista hvata adresu, ali lokalnog hosta koji ju posjeduje čini nedostupnim. Ono što izgleda kao problem rutiranja jest sudar adresiranja, i oba popravka mijenjaju adrese, a ne rute. Provjerite tu tvrdnju na vlastitom stroju prije nego je prihvatite.

ip route get 192.168.1.50
route -n get 192.168.1.50
Find-NetRoute -RemoteIPAddress 192.168.1.50

Pitajte sustav o jednoj adresi i zabilježite koje sučelje imenuje. Linux, macOS i Windows odgovaraju na to pretragom samo za čitanje koja izvještava odabrano sučelje i sljedeći skok bez prijenosa bilo čega. Kada odgovor pokazuje na fizički adapter dok je tunel podignut, jezgra adresu tretira kao on-link, a ne kao nešto što bi tunel mogao nositi.

Stavite prefiks koji je dodijelio pružatelj uz onaj koji poslužuje kućni usmjerivač i usporedite ih kao nizove. Točno podudaranje je jasan slučaj, a širi bazen pružatelja koji sadrži kućnu podmrežu pada jednako, samo ga je lakše previdjeti. Dva prefiksa koja samo slično izgledaju nisu sudar, zato zapišite oba prije nego što bilo što promijenite.

Pročitajte bazen koji je klijent stvarno dobio

Čitajte što je klijent primio, a ne marketinšku stranicu pružatelja. Povećajte razinu detalja u zapisniku OpenVPN klijenta i rute koje poslužitelj gura pojavit će se u njemu, otkrivajući prefikse tunela; drugdje se bazen vidi u detaljima veze ili na samom adapteru. Zatražite od pružatelja cijeli popis privatnih raspona koje koristi, jer jedna /24 danas može sutra biti dvije. Izbjegavati uobičajene RFC 1918 blokove nije isto što i izbjeći dodjelu koja vam je stvarno dana.

Bazen se može i smanjiti ili preseliti između regija, pa popis treba datum i vlasnika. Svaki odgovor pružatelja stariji od vaše posljednje promjene plana tretirajte kao nagađanje, a ne činjenicu. Pitajte ponovo prije nego se obvežete na raspon, i čuvajte odgovor uz mrežne bilješke kako bi sljedeća osoba naslijedila dokaz.

Prenumeracija je popravak koji možete napraviti

Ako VPN poslužitelj nije vaš da ga mijenjate, premještanje kućnog LAN-a jedini je dostupan popravak, i to je uobičajena situacija s komercijalnim pružateljem. Odaberite raspon izvan bazena pružatelja i izvan raspona koji bi vam mogli zatrebati kasnije, i provjerite ga prema svakom drugom lokalitetu do kojeg dolazite kroz tunel. Očekujte kratak prekid i duži rep zaboravljenih uređaja: uređaj koji još drži staru adresu izgleda da radi dok mu ne zatreba pristupnik.

1. Prvo popis: vlastita adresa usmjerivača, DHCP raspon, rezervacije, prosljeđivanja portova i svaki uređaj čija je adresa upisana ručno.
2. Zatim promijenite LAN prefiks usmjerivača i DHCP raspon zajedno unutar prozora za održavanje, i obnovite žičane zakupnine prije bežičnih.
3. Potom ispravite statične adrese: pisače, mrežnu pohranu, sve s tvrdo zapisanim pristupnikom.
4. Konačno, ponovo povežite VPN klijent i potvrdite da se adresa tunela više ne sudara s LAN-om.

Prođite adrese tim redom, a ne sve odjednom, i ostavite stari raspon dokumentiran neko vrijeme da zastario uređaj bude prepoznatljiv, a ne tajanstven. Uređaj koji nikada ne obnovi zakup oglašava se time što ne dosegne pristupnik, što je daleko bolji trag od poziva podršci. Ako usmjerivač daje zakupnine dulje od jednog dana, skratite ih na vrijeme trajanja prozora.

Što pseudonim može i što ne može

Kada je poslužitelj vaš, prevođenje adresa na klijentu može izložiti udaljeni prefiks unutar slobodnog lokalnog raspona, pa isti host odgovara na drugoj adresi. Zajednički OpenVPN to čini s client-nat, i ta je direktiva specifična za taj klijent, nema je u komercijalnim i mobilnim klijentima s kojima je ljudi obično uspoređuju. Raspored traži rutu koja odgovara prijevodu, slobodan raspon za pseudonim i poslužitelj voljan odgovoriti na klijentovu neprevedenu adresu. Ništa od toga ne pomaže kada klijent pripada upravljanom pružatelju koji ne možete konfigurirati.

Kad promjena stupi na snagu, dosegnite lokalni i udaljeni host prvo po adresi, a zatim po imenu, bilježeći rutu koju sustav svaki put odabere. Ime se još može razriješiti u stari raspon, pa adrese i imena zaslužuju neovisne provjere. Ponovno pokrenite jedan klijent i jedan uređaj na strani poslužitelja ako je bilo koji ostao uključen tijekom promjene, jer predmemorirani unosi susjeda žive dulje od izmjene.

Zapišite prefikse na kojima ste se zaustavili tamo gdje ljudi stvarno gledaju: mrežne bilješke, polje komentara na usmjerivaču, stranicu za uvodno povezivanje. Netko će ponovno odabrati 192.168.1.0/24, i sudar će se vratiti s njim.