Tá adresa L2TP je IPCP, nie DHCP lease v sieti LAN

Vnútorná adresa pochádza z vyjednávania PPP, nie z DHCP servera kancelárie. Pozrite sa, ktorá fáza ju prideľuje, prečo vám LAN nemôže odpovedať a čo kontrolovať.

Spojenie sa nadviaže a adaptér ukazuje adresu z kancelárskeho rozsahu, takže prirodzený záver je, že vám VPN dala adresu LAN, a tým vás postavila do LAN. Ani jedna z tých dvoch polovíc nie je celkom pravda. L2TP prenáša reláciu PPP a PPP vyjednáva vnútornú adresu IPv4 pomocou IPCP. Tá adresa je parameter relácie dohodnutý medzi dvoma stranami, nie lease pridelený DHCP serverom kancelárie, a jej držanie z vás nerobí suseda v kancelárskom kábli.

Dve adresy v jednom spojení

V spojení L2TP prebiehajú dve nezávislé vyjednávania. Vonkajšie vytvára chránenú cestu medzi vaším zariadením a koncovým bodom VPN cez akúkoľvek sieť, ktorú už máte. Vnútorné je relácia PPP a práve v ňom sa dohodne adresa vašej relácie a adresa protistrany. Internetová prevádzka môže odchádzať pod úplne treťou adresou, verejnou adresou koncového bodu, a preto sa stránka na kontrolu VPN a adresa adaptéra málokedy zhodujú.

Oddelenie týchto troch rolí zodpovie väčšinu otázok, ktoré ľudia k tejto vrstve prinášajú. Súkromné číslo na rozhraní VPN je normálne a očakávané. Nehovorí nič o tom, či koncový bod zmenil váš verejný výstup, a samo o sebe nerozhoduje, ktoré ciele vaša prevádzka dosiahne.

Čo IPCP presne robí

IPCP je riadiaci protokol IPv4 pre PPP. Každá strana posiela správy Configure-Request opisujúce možnosti, ktoré chce, a možnosť adresy je jednou z nich. Klient, ktorý ešte adresu nemá, sa zvyčajne pýta s 0.0.0.0 a server odpovedá správou Configure-Nak nesúcou adresu, ktorú chce, aby klient použil. Klient potom požiada o túto adresu a relácia sa nadviaže s miestnou a vzdialenou adresou.

Táto výmena je opísaná v špecifikáciách PPP a IPCP a vysvetľuje detail, ktorý vyzerá ako chyba: adresu vyberá server podľa svojej vlastnej politiky, čo môže byť fond, nastavenie pre jednotlivého používateľa alebo adresa viazaná na overenú identitu. Keď sa fond vyčerpá alebo sa politika dostane do konfliktu so žiadosťou, overenie môže uspieť, zatiaľ čo vyjednávanie adresy zlyhá, a klient hlási spojenie, ktoré sa nikdy neustáli.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Riadok v logu pppd s miestnou a vzdialenou adresou je úspešným koncom tohto vyjednávania. Jeho neprítomnosť vedľa úspešného overenia ukazuje na fázu adresy, nie na prihlasovacie údaje.

Prečo vám LAN nemôže odpovedať

Adresa z rozsahu vzdialenej strany vytvára očakávanie, že vás hostitelia v tejto LAN môžu dosiahnuť, a väčšinou nemôžu, ak server neposiela adresu vašej relácie späť do tunela. Byť vo fonde je tvrdenie o prideľovaní, nie o topológii. Kancelársky súborový server nemá trasu k adrese vašej relácie, ak ju server VPN nepreposiela, a možno to ani nie je dovolené, aj keby ju preposielal.

Preto aj prekrývajúce sa rozsahy spôsobujú problémy neúmerné svojej zdanlivej veľkosti. Ak sa fond prekrýva s LAN, ktorú klient už používa, má klientska smerovacia tabuľka teraz dva nároky na rovnaký prefix a nesprávny často vyhrá z dôvodov, ktoré s tunelom nemajú nič spoločné.

Overte reláciu, potom trasu

Najprv skontrolujte rozhranie, potom trasy, potom jeden cieľ, na ktorom záleží. Každý krok má svoj vlastný spôsob zlyhania a testovanie všetkých troch naraz dáva záver, ktorý neskôr neobhájite.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Ak verejná kontrola ukazuje adresu koncového bodu, zatiaľ čo súkromný cieľ vyprší, tunel nesie vašu predvolenú trasu a vzdialená strana na tento cieľ neodpovedá. Ak súkromný cieľ odpovedá, ale verejná kontrola sa nemení, profil používa rozdelené tunelovanie a reláciu využíva len časť prevádzky.

Držte tie tri fázy oddelené

Overenie, vyjednávanie adresy a preposielanie zlyhávajú rôzne, a každá má iného vlastníka. Prihlasovacie údaje sú problém identity, vyčerpanie IPCP je problém serverovej politiky a chýbajúca spätná trasa je problém návrhu siete. Nahlásiť všetky tri ako „VPN je pokazená“ zaručí pomalú opravu.

Zapíšte pridelenú adresu, fond, z ktorého prišla, a či ju má LAN dosiahnuť. Tá jediná poznámka zabráni ďalšiemu človeku predpokladať DHCP lease a hľadať rozsah, ktorý nikdy nebol zapojený.

Súvisiace články