Gostiteljem v LAN dajte povratno pot VPN z možnostjo 121 DHCP

Oddaljeni odjemalci VPN se povežejo, strežnik LAN odgovori in odgovor odide skozi običajni internetni usmerjevalnik ter tam umre. En strežnik je mogoče popraviti s statično potjo, a celotno njihovo podomrežje je bolje obravnavati tam, kjer že dobivajo svojo omrežno konfiguracijo. Možnost 121 DHCPv4 razširja natanko takšno ciljno pot in to je del, ki ga ljudje običajno naredijo narobe v trenutku, ko pozabijo privzeto. Simptom je enosmerni promet: zahteve prispejo in odgovori izginejo.

Najprej poimenujte tri naslove

Vzemite konkreten LAN: 192.168.50.0/24 z običajnim privzetim usmerjevalnikom na 192.168.50.1 in ločenim prehodom VPN na 192.168.50.2. Overjeni oddaljeni odjemalci zasedajo 10.90.0.0/24.

Pot, ki jo potrebuje vsak sodelujoči gostitelj, je 10.90.0.0/24 via 192.168.50.2. Cilj je nabor odjemalcev, naslednji skok pa je naslov LAN prehoda, ne njegov naslov v tunelu.

Zakodirajte jo kot brezrazredno statično pot

Možnost 121 prenaša pare predpone in naslednjega skoka, RFC 3442 pa določa tako kodiranje kot vedenje odjemalca, ki iz tega sledi. Za obstoječo instanco dnsmasq, ki služi samo temu ilustrativnemu LAN-u, je oblika konfiguracije:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

To je fragment, ne nova storitev DHCP. Na strežniku, ki služi več segmentom, omejite možnost z oznakami ali omrežno politiko, ki jo že uporabljate. Imate prejšnjo konfiguracijo pri roki, ker razveljavitev pomeni še eno podaljšanje zakupa, ne ponovni zagon.

Ne izgubite privzete poti

Tu je past. Odjemalec, ki prejme možnost 121, mora prezreti običajno možnost Router, zato lahko oglaševanje samo poti nabora VPN tega gostitelja pusti povsem brez privzete poti. Stroj je še vedno videti konfiguriran in tiho izgubi internet. Uporabniki to opišejo kot padec omrežja, medtem ko so vsi vmesniki aktivni.

Vključite predvideno privzeto pot na isti seznam, kot to stori fragment zgoraj. Ohranite tudi običajno možnost Router za odjemalce, ki ne izvajajo brezrazrednih poti; o tem, kaj se komu pošlje, odloča lastno ravnanje strežnika z možnostmi.

Preverite, kaj bo odjemalec sprejel

Gostitelj z ročno nastavljenim naslovom tega nikoli ne ujame, ker ne zahteva zakupa. Tudi podpora pri odjemalcih se razlikuje, zato preizkusite na operacijskem sistemu, ki ga resnično uporabljate, namesto da bi domnevali, da vsaka naprava spoštuje možnost 121. Preverite pri lastnikih teh strežnikov, kateri imajo statični naslov. Ti gostitelji potrebujejo lastne vnose poti, sicer preprosto ne bodo sodelovali.

Upravljane storitve DHCP so druga meja. Nekatera oblacna omrežja skrbnikom ne dovolijo objavljati poljubnih možnosti, tekmujoči strežnik DHCP v istem segmentu pa je slabši od nobene možnosti.

Preverite zakup, nato iskanje

Prosite lastnika DHCP, da uveljavi spremembo, nato obnovite zakup na odjemalcu. Obstoječi zakupi ohranijo staro konfiguracijo, dokler se ne obnovijo, zato takojšnji rezultati niso zagotovljeni.

Na odjemalcu Linux preberite dejanske poti in potrdite oba vnosa:

ip -4 route
ip -4 route get 10.90.0.23

Kontekstno iskanje bi moralo pokazati pot nabora prek 192.168.50.2 in privzeto prek 192.168.50.1. Če privzeta manjka, ste reproducirali past zgoraj.

Nato preizkusite pravo izmenjavo

Razširjanje poti ni celotna pot. Ločen prehod še vedno potrebuje posredovanje, lastništvo oddaljenih partnerjev in politiko dostopa, ki dovoli strežnik, DHCP pa nikogar ne overi.

Nazadnje imejte načrt odstranitve. Naučena statična pot se ne umakne sama, ko VPN pade, zato lahko zastarel naslednji skok spremeni to predpono v črno luknjo veliko pozneje, ko tunela ni več.