Ta naslov L2TP je IPCP, ne zakup DHCP v omrežju LAN

Povezava se vzpostavi in vmesnik prikaže naslov iz pisarniškega obsega, zato je naravna ugotovitev, da vam je VPN dal naslov LAN in vas s tem postavil v LAN. Nobena od obeh polovic ni povsem pravilna. L2TP prenaša sejo PPP, PPP pa se pogaja o notranjem naslovu IPv4 z IPCP. Ta naslov je parameter seje, dogovorjen med dvema stranema, ne zakup, ki ga izda pisarniški strežnik DHCP, in posedovanje tega naslova vas ne naredi za soseda na pisarniškem kablu.

Dva naslova v eni povezavi

V povezavi L2TP sta dve neodvisni pogajanji. Zunanje vzpostavi zaščiteno pot med vašo napravo in končno točko VPN prek katerega koli omrežja, ki ga že imate. Notranje je seja PPP in tam se dogovorita naslov vaše seje in naslov druge strani. Internetni promet lahko odide povsem pod tretjim naslovom, javnim naslovom končne točke, zato se stran za preverjanje VPN in naslov vmesnika redko ujemata.

Ločevanje teh treh vlog odgovori na večino vprašanj, ki jih ljudje prinesejo na to plast. Zasebna številka na vmesniku VPN je običajna in pričakovana. Ne pove ničesar o tem, ali je končna točka spremenila vaš javni izhod, in sam po sebi ne odloči, katere cilje doseže vaš promet.

Kaj IPCP natančno počne

IPCP je nadzorni protokol IPv4 za PPP. Vsaka stran pošlje sporočila Configure-Request, ki opisujejo želene možnosti, možnost naslova pa je ena od njih. Odjemalec, ki še nima naslova, običajno vpraša z 0.0.0.0, strežnik pa odgovori s Configure-Nak, ki nosi naslov, ki ga želi za odjemalca. Nato odjemalec zahteva ta naslov in seja se vzpostavi z lokalnim in oddaljenim naslovom.

Ta izmenjava je dokumentirana v specifikacijah PPP in IPCP in pojasnjuje podrobnost, ki je videti kot hrošč: naslov izbere strežnik po lastni politiki, ki je lahko skupek, nastavitev za posameznega uporabnika ali naslov, vezan na overjeno identiteto. Ko se skupek izprazni ali politika nasprotuje zahtevi, lahko preverjanje uspe, medtem ko pogajanje o naslovu ne uspe, in odjemalec poroča o povezavi, ki se nikoli ne umiri.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Vrstica v dnevniku pppd, ki navaja lokalni in oddaljeni naslov, je uspešen konec teh pogajanj. Njena odsotnost ob uspešnem preverjanju kaže na fazo naslova, ne na poverilnice.

Zakaj vam LAN ne more odgovoriti

Naslov iz obsega oddaljene strani ustvari pričakovanje, da vas gostitelji v tem omrežju LAN lahko dosežejo, in večinoma ne morejo, razen če strežnik usmeri naslov vaše seje nazaj v tunel. Biti v skupku je izjava o dodeljevanju, ne o topologiji. Pisarniški strežnik datotek nima poti do naslova vaše seje, razen če ga strežnik VPN posreduje, in morda to niti ni dovoljeno, tudi če ga posreduje.

Zato tudi prekrivajoči se obsegi povzročajo težave, nesorazmerne z njihovo navidezno velikostjo. Če se skupek prekriva z omrežjem LAN, ki ga odjemalec že uporablja, ima usmerjevalna tabela odjemalca zdaj dve zahtevi na isti predponi, in napačna pogosto zmaga iz razlogov, ki nimajo nič opraviti s tunelom.

Najprej preverite sejo, nato pot

Najprej preverite vmesnik, nato poti, nato en cilj, ki je pomemben. Vsak korak ima svoj način odpovedi, preizkušanje vseh treh hkrati pa da sklep, ki ga pozneje ne boste mogli braniti.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Če javno preverjanje pokaže naslov končne točke, medtem ko zasebni cilj poteče, tunel prenaša vaš privzeti usmerjevalni vnos, oddaljena stran pa ne odgovarja za ta cilj. Če zasebni cilj odgovori, javno preverjanje pa se ne spremeni, profil uporablja razdeljeno tuneliranje in sejo uporablja le del prometa.

Te tri faze imejte ločene

Preverjanje, pogajanje o naslovu in posredovanje odpovedo na različne načine, vsaka pa ima drugega odgovornega. Poverilnice so težava identitete, izčrpanje IPCP je težava strežniške politike, manjkajoča povratna pot pa je težava zasnove omrežja. Poročati o vseh treh kot „VPN je pokvarjen“ zagotavlja počasno popravilo.

Zapišite dodeljeni naslov, skupek, iz katerega je prišel, in ali naj ga LAN doseže. Ta ena opomba prepreči, da bi naslednja oseba predpostavila zakup DHCP in iskala obseg, ki ni bil nikoli vpleten.