Zakaj VPN s polnim tunelom skriva vaše usmerjene lokalne VLAN

Stikalo »dovoli lokalno omrežje« v odjemalcu VPN zveni, kot da pokriva vse v stavbi. V praksi običajno doda nekaj izjem za zasebne naslove na privzeto pot tunela in se tam ustavi. Vaš VLAN shrambe ostane dosegljiv le, če pot za to določeno predpono preživi prihod tunela, in pri mnogih odjemalcih ne preživi.

To je vprašanje usmerjanja, ne nastavitev VPN, kar je dobra novica: ima konkreten odgovor.

Kaj dovoljenje lokalnega omrežja dejansko pokriva

Odjemalci to možnost izvajajo različno. Nekateri dodajo poti za podomrežje, na katero je stroj priključen, nekateri dodajo obsege RFC 1918, redki pa izključijo samo privzeti prehod. Nobeden od njih ne ve, da vaš pisarniški usmerjevalnik služi tudi VLAN shrambe, laboratorijskemu segmentu ali podomrežju tiskalnikov, ker teh predpon ni v omrežju, ki ga odjemalec vidi. Namesto da bi domnevali, da oznaka opisuje vašo topologijo, preberite dokumentacijo samega odjemalca za natančno vedenje.

Razlika je najpomembnejša pri zasnovi s polnim tunelom, kjer odjemalec namerno zamenja privzeto pot, da gre ves promet skozi VPN. To je celoten namen te zasnove in prav zato lokalna usmerjena omrežja izginejo. Nikoli niso bila pokrita z lastno potjo; vozila so se na privzeti poti, ki je bila pravkar zamenjana. Odjemalec ne more usmerjati tega, za kar ne ve, da obstaja, in nauči se le predpon, pritrjenih na lastni vmesnik. Vse drugo mora opisati nekdo, ki pozna topologijo.

Povezane poti se ustavijo na prvem usmerjevalniku

Delovna postaja na 192.168.10.20/24 s prehodom 192.168.10.1 samodejno dobi povezano pot za 192.168.10.0/24. VLAN shrambe na 192.168.20.0/24 je druga predpona, dosegljiva le skozi ta prehod, delovna postaja pa zanjo nima poti razen privzete. Preden se tunel dvigne, običajna privzeta pot pošilja promet shrambe na 192.168.10.1 in vse deluje.

Ko VPN namesti privzeto pot polnega tunela, paketi za 192.168.20.1 sledijo novi privzeti poti v tunel. Oddaljeni prehod ne ve, kje ta predpona živi, zato jih zavrže ali pošlje na nekoristno mesto. Na VLAN shrambe ni bilo nič napačno nastavljeno; njena pot je bila izposojena in posojilo je bilo izterjano.

Skušnjava je poseči po široki izjemi, kot je par poti /1 ali druga privzeta pot. Uprite se. Ožja ko je izjema, lažje jo je razložiti, pregledati in odstraniti, ko se omrežje spremeni.

Izpustite izjemo v tabelo, ki zmaga

Znotraj ene usmerjevalne tabele /24 premaga /0 ali /1 z ujemanjem najdaljše predpone, zato zadošča posebna pot do VLAN shrambe skozi lokalni prehod, če se tabela sploh upošteva. V Linuxu je običajna oblika kratka:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Usmerjanje po pravilniku to jamstvo zaplete. Prejšnje pravilo lahko pošlje promet v tabelo, katere lastna privzeta pot vodi v tunel, in glavna tabela z vašim /24 ni nikoli dosežena. Preverite pravila, preden domnevate, da je pot verodostojna, ker pravilno videti vnos v napačni tabeli pojasnjuje okvaro, ki je videti kot zlomljena pot.

Nato naredite vnos trajen prek mehanizma, ki ga odjemalec podpira, ali upravitelja omrežja, ki ima vmesnik. Pot, vtipkana v poziv, izgine ob naslednji ponovni povezavi, pot, vezana na en Wi-Fi prehod, pa ni prenosljiva v naslednje omrežje, ki ga prenosnik obišče.

Imena in pravilnik ne sledijo potem

Popravilo poti obnovi pakete, ne imen. Če se lokalne naprave razrešujejo prek vsiljenega razreševalnika, ki o njih ne ve ničesar, priklop še vedno ne uspe, čeprav je naslov dosegljiv. Lokalna imena potrebujejo lokalno ali razdeljeno ureditev DNS, in to je ločena odločitev od izjeme poti.

Pravilnik je spet ločen. Filter lokalnega dostopa odjemalca VPN lahko namerno prepove promet v zasebne obsege, in pot tega pravila ne preglasi. V nezaupanja vrednem omrežju zasebni naslov tudi ni dokaz, da je cilj vaš strežnik shrambe, zato mora biti izjema enako posebna kot pot.

Pogodba, ki jo lahko predate

Končna zasnova se mora brati kot kratek seznam: splošni internetni promet sledi tunelu, te imenovane lokalne predpone pa ohranijo svojo pot skozi lokalni usmerjevalnik. Zapišite predpone, naslednji skok in pripono DNS, ki jim pripada, ter ohranite seznam dovolj kratek, da ga lahko nekdo preveri, ne da bi bral usmerjevalno tabelo.

Pazite na prekrivanje lokalnih in oddaljenih obsegov. VLAN shrambe, ki si deli predpono z nečim za VPN, se bo razrešil na pot, ki je bolj posebna, in posledično vedenje zmede na način, ki deluje občasno. Prenumeriranje ene strani je običajno cenejše od večnega odpravljanja te dvoumnosti.

Pogodbo preizkusite dvakrat: enkrat z dvignjenim tunelom in enkrat s spuščenim. Če lokalna pot deluje le v enem od teh stanj, izjema še ni pogodba.