Prečo VPN s plným tunelom skrýva vaše smerované lokálne VLAN

Prepínač „povoliť lokálnu sieť” v klientovi VPN znie, akoby pokrýval všetko v budove. V praxi zvyčajne pridá niekoľko výnimiek pre súkromné adresy k predvolenej trase tunela a tam sa zastaví. Vaša VLAN úložiska zostáva dostupná len vtedy, ak trasa pre tento konkrétny prefix prežije príchod tunela, a na mnohých klientoch neprežije.

To je otázka smerovania, nie nastavenie VPN, čo je dobrá správa: má konkrétnu odpoveď.

Čo povolenie lokálnej siete skutočne pokrýva

Klienti implementujú túto možnosť rôzne. Niektorí pridajú trasy pre podsiet, ku ktorej je stroj pripojený, niektorí pridajú rozsahy RFC 1918 a niekoľkí vylúčia iba predvolenú bránu. Žiadny z nich nevie, že váš kancelársky router obsluhuje aj VLAN úložiska, laboratórny segment alebo podsiet tlačiarní, pretože tieto prefixy nie sú v sieti, ktorú klient vidí. Namiesto predpokladu, že štítok opisuje vašu topológiu, si prečítajte dokumentáciu samotného klienta, aby ste zistili presné správanie.

Rozdiel je najdôležitejší v návrhu s plným tunelom, kde klient zámerne nahrádza predvolenú trasu, aby všetka prevádzka šla cez VPN. To je celý zmysel tohto návrhu a práve to spôsobuje, že lokálne smerované siete miznú. Nikdy neboli pokryté vlastnou trasou; viezli sa na predvolenej trase, ktorá bola práve nahradená. Klient nemôže smerovať to, o čom nevie, že existuje, a učí sa len prefixy pripojené k vlastnému rozhraniu. Všetko ostatné musí opísať niekto, kto pozná topológiu.

Pripojené trasy sa končia na prvom routeri

Pracovná stanica na 192.168.10.20/24 s bránou 192.168.10.1 automaticky dostane pripojenú trasu pre 192.168.10.0/24. VLAN úložiska na 192.168.20.0/24 je iný prefix, dostupný iba cez túto bránu, a stanica preň nemá trasu okrem predvolenej. Kým sa tunel nezobudí, bežná predvolená trasa posiela prevádzku úložiska na 192.168.10.1 a všetko funguje.

Keď VPN nainštaluje predvolenú trasu plného tunela, pakety pre 192.168.20.1 nasledujú novú predvolenú trasu do tunela. Vzdialená brána netuší, kde ten prefix žije, takže ich zahodí alebo pošle na zbytočné miesto. Na VLAN úložiska nebolo nič zle nakonfigurované; jej cesta bola požičaná a pôžička bola vypýtaná späť.

Pokušenie je siahnuť po širokej výnimke, napríklad páre trás /1 alebo druhej predvolenej trase. Odolajte. Čím je výnimka užšia, tým ľahšie sa vysvetľuje, kontroluje a odstraňuje, keď sa sieť zmení.

Umiestnite výnimku do tabuľky, ktorá vyhráva

V rámci jednej smerovacej tabuľky /24 poráža /0 alebo /1 podľa zhody najdlhšieho prefixu, takže konkrétna trasa k VLAN úložiska cez lokálnu bránu stačí, za predpokladu, že sa tabuľka vôbec prehliada. Na Linuxe je bežná forma krátka:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Smerovanie podľa pravidiel túto záruku komplikuje. Skoršie pravidlo môže poslať prevádzku do tabuľky, ktorej vlastná predvolená trasa vedie do tunela, a hlavná tabuľka s vaším /24 sa potom nikdy nedosiahne. Skontrolujte pravidlá, kým budete trasu považovať za smerodajnú, pretože správne vyzerajúci záznam v nesprávnej tabuľke vysvetľuje zlyhanie, ktoré vyzerá ako pokazená trasa.

Potom urobte záznam trvalým cez mechanizmus podporovaný klientom alebo cez správcu siete, ktorý vlastní rozhranie. Trasa napísaná v príkazovom riadku zmizne pri ďalšom opätovnom pripojení a trasa naviazaná na jednu Wi-Fi bránu sa neprenáša do ďalšej siete, ktorú laptop navštívi.

Mená a pravidlá nenasledujú trasy

Oprava trasy obnoví pakety, nie mená. Ak sa lokálne zariadenia prekladajú cez vložený resolver, ktorý o nich nič nevie, pripojenie zlyhá aj vtedy, keď je adresa dostupná. Lokálne mená potrebujú lokálne alebo rozdelené DNS usporiadanie a to je samostatné rozhodnutie od výnimky trasy.

Pravidlá sú opäť samostatné. Filter lokálneho prístupu klienta VPN môže zámerne zakázať prevádzku do súkromných rozsahov a trasa toto pravidlo neprebije. V nedôveryhodnej sieti súkromná adresa tiež nie je dôkazom, že cieľom je váš server úložiska, takže výnimka by mala byť rovnako konkrétna ako trasa.

Zmluva, ktorú môžete odovzdať

Hotový návrh by sa mal čítať ako krátky zoznam: všeobecná internetová prevádzka ide cez tunel a tieto pomenované lokálne prefixy si zachovávajú cestu cez lokálny router. Zapíšte prefixy, ďalší hop a DNS príponu, ktorá k nim patrí, a udržujte zoznam taký krátky, aby ho niekto mohol overiť bez čítania smerovacej tabuľky.

Dávajte pozor na prekrytie lokálnych a vzdialených rozsahov. VLAN úložiska, ktorá zdieľa prefix s niečím za VPN, sa preloží na trasu, ktorá je konkrétnejšia, a výsledné správanie je mätúce spôsobom, ktorý pôsobí prerušovane. Prečíslovanie jednej strany je zvyčajne lacnejšie než večné ladenie tejto nejednoznačnosti.

Otestujte zmluvu dvakrát: raz so zdvihnutým tunelom a raz so spusteným. Ak lokálna cesta funguje len v jednom z týchto stavov, výnimka ešte nie je zmluva.