VPN adaptér zobrazuje /32: neznamená to jediný cieľ

Adaptéry zobrazujú 255.255.255.255 a záver býva taký, že VPN dosiahne presne jednu adresu. Toto čítanie zamieňa adresu samotného klienta s množinou cieľov smerovaných tunelom. Na rozhraní typu bod-bod alebo na smerovanom rozhraní ide o dva rôzne objekty a dosiahnuteľnosť obmedzuje len jeden z nich. Mýtus prežíva preto, lebo maska vyzerá ako maska podsiete, ktorú sa ľudia naučili na Ethernete.

Mýtus: maska hostiteľa znamená jediného dosiahnuteľného hostiteľa

Priradenie /32 povie rozhraniu, ktorá adresa patrí tomuto koncu spoja, a na spoji bod-bod to je všetko, čo znamená. Adresa partnera je samostatné pole a trasy, ktoré hovoria, čo leží za partnerom, sú zasa samostatné. Nič v maske neopisuje vzdialenú sieť, pretože maska nie je miesto, kde sa vzdialené siete opisujú. Čítať ju ako hranicu dosiahnuteľnosti je ako čítať číslo vlastného domu ako zoznam všetkých adries, ktoré smiete navštíviť.

Zámene má skutočný koreň: na Ethernete by maska hostiteľa naozaj znamenala jedinú adresu v danom segmente. Tunel nie je segment Ethernetu a o tom, čo ním prejde, rozhoduje smerovacia tabuľka klienta, nie maska. Preto môže tá istá /32 stáť pred celým dátovým centrom.

Čítajte adresu a trasy ako samostatné objekty

Vypíšte rozhranie a tabuľku spoločne a potom ich čítajte ako dve odpovede na dve otázky. Adresa odpovedá, kto je tento koniec; trasy odpovedajú, kam smie prevádzka ísť. Tretia otázka, ktoré ciele brána povoľuje, nie je na klientovi vôbec vidieť. Referenčná príručka adries iproute2 práve preto opisuje polia miestnej adresy, partnera a trasy prefixu oddelene.

ip addr show tun0
ip route show
ip route get 10.60.5.10

V Windows existuje rovnaké rozdelenie medzi zoznamom adries a smerovacou tabuľkou a príkaz na vyhľadanie je najrýchlejší spôsob, ako zistiť, ktorá pre konkrétny cieľ zvíťazí. Ak vyhľadanie vráti tunelové rozhranie, klient tam paket pošle. Ak vráti fyzický adaptér, klient sa VPN nikdy neopýta a žiadne oprávnenie na strane servera to nezmení. Kontrolujte cieľ, ktorý skutočne potrebujete, nie všeobecnú verejnú adresu.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Zastavte sa, ak vyhľadanie ukazuje na nesprávne rozhranie. To je problém smerovania na klientovi a rieši sa na klientovi.

Prečo rozšírenie masky zvyčajne všetko zhorší

Zmena priradenia na /24, aby to vyzeralo ako kancelárska LAN, môže vytvoriť prefix na spoji: jadro teraz verí, že celá /24 je pripojená priamo k tunelovému rozhraniu. Prevádzka pre adresy, ktoré by mali byť smerované cez bránu, sa potom posiela tak, ako keby bol sused na spoji. Výsledkom je čierna diera, ktorá vyzerá ako výpadok servera.

Tiež skrýva skutočný problém, teda chýbajúcu trasu alebo chýbajúce oprávnenie na bráne. Ani jedno z toho širšia maska nevytvára a oboje zmenu prežije. Ak návrh potrebuje na rozhraní väčší prefix, je to rozhodnutie pre používaný model rozhrania, prijaté s dokumentáciou v ruke. Kopírovať masku zo snímok obrazovky iného produktu nie je to rozhodnutie.

Ak trasa vzdialeného prefixu chýba, opravte jej zabezpečenie. Ak existuje a spojenie je stále odmietané, maska nikdy nebola diagnózou.

Keď je trasa správna a tok napriek tomu zlyháva

Správna trasa dokazuje len to, že klient paket odošle. Brána musí cieľ stále prijať, spätná cesta musí existovať pre pridelenú adresu a služba musí tok povoliť. Otestujte tieto tri veci oddelene: vyhľadanie na klientovi, povolený rozsah brány a požiadavku na jeden potrebný server. Úspešná autentizácia skôr, než sú všetky tri na mieste, je normálna, a práve preto sa pripojený klient môže nedostať nikam.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Držte sieťové objekty a oprávnenia skupín u ich vlastníka v službe spravovanej zariadením. To, k čomu má klient podľa zadania dosiahnuť, a to, čo smie používať, sú rôzne nastavenia, často na rôznych obrazovkách. Zmeniť jedno a testovať druhé je spôsob, akým tiket poskakuje medzi dvoma tímami.

Mýtus, ktorý treba opustiť, je, že maska je hranica dosiahnuteľnosti. Čítajte adresu, trasy a politiku brány ako tri oddelené fakty a /32 prestane vyzerať ako obmedzenie a začne vyzerať ako bežné priradenie tunela.