Router v klientskom režime VPN: prečo miznú zariadenia LAN
Zariadenia LAN miznú po tom, čo router prejde do klientského režimu VPN: najprv otestujte funkciu kontroly v ceste preposielania a potom rozsah LAN, ktorý pod vami zmenil firmware.
Viera, že klientsky režim sám o sebe zabíja prístup k LAN, vedie ľudí do nesprávnej ponuky nastavení, a skutočné príčiny sú zvyčajne dve. Tunel neodstraňuje most LAN a nebráni káblovým ani bezdrôtovým klientom dosiahnuť na seba. Lokálny prístup rozbíja buď funkcia kontroly v ceste preposielania routera, alebo rozsah adries LAN, ktorý sa posunul, keď to urobil firmware. Obe dávajú rovnakú sťažnosť a ani jedno sa neopraví preinštalovaním profilu VPN.
Mýtus a čo klientsky režim skutočne mení
Klientsky režim pridá tunelové rozhranie a predvolenú trasu, ktorá cez neho vedie, a potom preposiela LAN prevádzku do tohto tunela. Most medzi káblovými portami a bezdrôtovými rádiovými jednotkami zostáva nedotknutý, rovnako ako lokálne prepínanie. Mení sa politika: ktorá prevádzka sa preposiela, kde sa prekladá a ktorý resolver klienti dostanú.
Tento rozdiel je dôležitý, pretože rozbitá LAN zvyčajne znamená, že sa zmenila jedna z týchto troch politík, nie že router prestal byť prepínačom. Router, ktorý stále odpovedá na vlastnú administračnú stránku, je dôkazom, že rozhranie LAN žije. Router, ktorý neodpovedá vôbec na nič, má iný problém, napríklad zmenenú adresu LAN alebo klienta v nesprávnej podsieti.
Užitočný prvý krok je teda nájsť, ktorá vrstva sa rozbila, nie meniť vrstvu, ktorú podozrievate.
Pred dotykom nastavenia otestujte tri ciele
Z káblového klienta otestujte tri ciele oddelene a zapíšte každý výsledok: vlastnú adresu LAN routera, ďalšie zariadenie na tom istom prepínači podľa IP a niečo dostupné iba cez tunel. Robte ich v tomto poradí, pretože každý výsledok vylučuje inú vrstvu. Pri prvom prechode používajte adresy namiesto názvov, pretože zlyhanie názvu mieša DNS do otázky konektivity.
Vzor odpovedí je diagnóza. Router, ktorý odpovedá, zatiaľ čo lokálne zariadenia nie, ukazuje na lokálne prepínanie alebo funkciu filtrovania, nie na smerovanie. Lokálne zariadenia, ktoré odpovedajú, zatiaľ čo strana tunela nie, ukazujú na tunelovú trasu alebo vzdialený firewall. Ak všetko odpovedá podľa adresy, ale názvy zlyhávajú, je to otázka resolvera a žiadne úpravy trás to nespravia.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Tabulku majte vedľa výsledkov testov. Mení nejasnú sťažnosť na jeden riadok, podľa ktorého môžete konať.
Bezpečnostná vrstva vnútri cesty preposielania
Spotrebiteľské routery čoraz častejšie dodávajú funkciu kontroly, ktorá sleduje preposielanú prevádzku, a beží v tej istej ceste, ktorá nesie pakety z LAN do tunela. Keď táto kontrola nedokáže klasifikovať tunelovú prevádzku, preposielanie sa môže zaseknúť, zatiaľ čo tunel sám zostáva hore a router hlási zdravé spojenie. V logu VPN to nie je vidieť, pretože VPN sa skutočne pripojila.
Diagnóza je kontrolovaný experiment, nie trvalá zmena. Poznamenajte si aktuálne nastavenie, vypnite funkciu na čas jedného testu, znova zdvihnite tunel a otestujte jedného lokálneho hostiteľa podľa adresy. Preposielanie, ktoré sa vráti, je dôkaz, ktorý ste potrebovali, a kompromis sa potom stane rozhodnutím namiesto hádanky. Ak sa nič nezmení, okamžite ju znova zapnite a prejdite k príčine adresovania.
Nechať platenú bezpečnostnú funkciu vypnutú, aby tunel ďalej fungoval, je kompromis, ktorý treba urobiť vedome a zapísať. Stojí za to sa aj opýtať, či tunel nepatrí na iné zariadenie, pretože router, ktorý musí všetko kontrolovať, a router, ktorý musí všetko preposielať, sú dve rôzne práce.
Druhá príčina: rozsah LAN sa posunul
Aktualizácie firmvéru pravidelne vracajú adresu LAN na predvolenú hodnotu výrobcu a niektoré routery majú výslovný prepínač režimu, ktorý rozhoduje, či si LAN zachová súkromný rozsah alebo ho zdedí od zariadenia vyššie. Klient, ktorý očakáva 192.168.8.x, môže skončiť na 10.64.0.x, a potom SSH relácia k hostiteľovi vyprší, aj keď je tunel úplne zdravý.
ipconfig /all
ip addr show
ip route get 192.168.8.20Prečítajte si prefix a bránu z prenájmu, než otvoríte stránku routera. Prvé dva príkazy ukazujú, čo klient skutočne dostal, a tretí ukazuje, ktoré rozhranie by klient použil pre lokálnu adresu, a práve tak sa prezradí zvyšková trasa alebo zastaraná podsiete. Potom to porovnajte so stránkou LAN a režimom, v ktorom sa router nachádza.
Ak sa rozsah nemôže vrátiť, aktualizujte každý objekt, ktorý ho pomenúva: rezervácie DHCP, každú statickú trasu do starej podsiete a každé pravidlo firewallu s predchádzajúcim prefixom. Rozsah, ktorý koliduje so vzdialenou podsiete tunela, je horší variant, pretože lokálne zariadenia zostávajú dostupné, zatiaľ čo vzdialené destinácie sa ticho smerujú zle do LAN.
Znova sa pripojte a otestujte v poradí paketov
Po ktorejkoľvek z dvoch zmien znova pripojte tunel a zopakujte testy v poradí paketov: router, lokálny hostiteľ, vzdialený hostiteľ, potom názvy, potom aplikácia. Testovanie aplikácie ako prvé skryje, ktorá vrstva je ešte rozbitá, a opakovaný pokus prehliadača s uloženým názvom môže vyzerať ako zlyhanie smerovania.
Zapíšte verziu firmvéru, prefix LAN a stav funkcie kontroly vedľa profilu VPN. Všetky tri sú konfigurácia, ktorú môže ďalšia aktualizácia prepísať, a dva riadky poznámok ušetria hodinu, ktorú ste práve strávili.