Miestne zariadenia miznú vo VPN: tri samostatné poruchy

Tlačiareň, ktorá pri zapnutí VPN zmizne zo zoznamu zariadení, môže na svojej adrese stále odpovedať. Zoznam plní zisťovanie, meno môže pochádzať z prekladača a služba samotná sa dosahuje cez soket, a tieto tri môžu zlyhať nezávisle. Porovnanie toho, čo funguje na každej vrstve, vám ukáže, ktorú funkciu zmeniť. Keď najprv zapnete všetky výnimky pre miestny prístup, odstránite dôkazy.

To je rozdiel medzi zariadením, ktoré chýba, a zariadením, ktoré sa len neohlasuje.

Zisťovanie, mená a dostupnosť sú tri vrstvy

Protokoly zisťovania sa spoliehajú na multicast alebo broadcast a tie predvolene neprechádzajú smerovaným tunelom, preto zariadenie môže zmiznúť zo zoznamu, aj keď zostáva úplne dostupné. Preklad mien je druhá vrstva: VPN môže zmeniť prekladač a meno, na ktoré predtým odpovedala miestna sieť, sa teraz môže prekladať inde alebo vôbec. Dostupnosť je tretia: trasa, pravidlo firewallu a počúvajúca služba. Každá vrstva sa môže pokaziť, kým ostatné dve sú v poriadku.

Skúšajte ich zdola nahor. Jediná kontrola dostupnosti rozdelenie sprehľadní: nc -vz 192.168.1.20 443 buď uspeje, čo znamená, že cesta aj služba sú v poriadku a podozrivé je meno, alebo zlyhá, čo otázku presúva na smerovanie a zásady. Potom sa spýtajte na meno. Prvá porucha, na ktorú narazíte, je vrstva, na ktorej treba pracovať, a vrstvy nad ňou to nemôžu nahradiť.

Najprv sa pýtajte na adresu, potom na meno hostiteľa

Ak adresa odpovedá a meno nie, problém je v preklade, nie v smerovaní. Klient VPN, ktorý si nainštaluje vlastný prekladač, môže zmeniť, ktorý server odpovedá na miestne mená, a ten, ktorý nepreposiela miestnu doménu, nechá meno bez odpovede. Ak zlyhá aj adresa, problém je v ceste: predvolená trasa tunelom, blokovanie miestnej prevádzky na strane klienta alebo pravidlo firewallu, ktoré povoľuje len fyzické rozhranie.

Ak oboje funguje, ale automatické zisťovanie nie, zariadenie sa jednoducho tunelom neohlasuje. To je očakávané správanie zisťovania založeného na multicast, nie porucha konfigurácie. Pridať zariadenie podľa adresy je zvyčajne poctivé riešenie.

Čo prepínač miestneho prístupu skutočne mení

Nastavenie prístupu k miestnej sieti zvyčajne umožňuje prevádzke do priamo pripojenej podsiete obísť tunel a v rôznych klientoch robí rôzne veci. Nenastavuje preposielanie do vzdialenej kancelárie a nemení firewall hostiteľa ani vlastné oprávnenia aplikácie. Takisto nerobí prekrývajúcu sa podsieť jednoznačnou. Prečítajte si dokumentáciu klienta o tom, čo nastavenie pokrýva, skôr než ho plošne zapnete.

Úzka výnimka pre jedno dôveryhodné zariadenie je lepšia ako plošné povolenie, najmä v hostiteľskej sieti, kde môže byť blokovanie zámerné. Súkromná adresa nie je overenie totožnosti, takže voľba závisí od siete, v ktorej ste.

Keď sa siete prekrývajú

Ak domáca a vzdialená sieť používajú rovnaký rozsah, smerovanie sa stane nejednoznačným a nevyrieši to ani prepínač miestneho prístupu, ani výnimka. Dve služby na tej istej adrese nemožno dosiahnuť obe a to, ktorá vyhrá, závisí od špecifickosti trasy a poradia, nie od úmyslu. Riešením je plánovanie adries, nie nastavenie klienta. Skontrolujte rozsahy, skôr než strávite večer pri tlačiarni.

Pri zariadení za vzdialenou bránou vlastní operátor preposielanie, zásady hostiteľa aj spätnú trasu. Miestne zaškrtávacie pole v klientovi nemôže dodať žiadne z toho a požiadať o to je produktívnejšie než experimentovať s prepínačmi.

Zaznamenajte, ktorá vrstva zlyhala a čo ste zmenili. Ďalšie zariadenie zlyhá na jednom z tých istých troch miest.