Usmerjevalnik v načinu odjemalca VPN: zakaj izginejo naprave LAN
Naprave LAN izginejo po tem, ko usmerjevalnik preide v način odjemalca VPN: najprej preizkusite funkcijo pregleda na poti posredovanja, nato obseg LAN, ki ga je firmware spremenil pod vami.
Prepričanje, da način odjemalca sam ubije dostop do LAN, vodi ljudi v napačen meni nastavitev, resnična vzroka pa sta običajno dva. Tunel ne odstrani mostu LAN in ne prepreči žičnim in brezžičnim odjemalcem, da se dosežejo. Lokalni dostop lomi bodisi funkcija pregleda na poti posredovanja usmerjevalnika bodisi obseg naslovov LAN, ki se je premaknil, ko je to storil firmware. Oba dajeta isto pritožbo in nobenega ne odpravi ponovna namestitev profila VPN.
Mit in kaj način odjemalca resnično spremeni
Način odjemalca doda vmesnik tunela in privzeto pot, ki poteka skozenj, nato posreduje promet LAN v ta tunel. Most med žičnimi vrati in brezžičnimi radijskimi enotami ostane nedotaknjen, prav tako lokalno preklapljanje. Kar se spremeni, je politika: kateri promet se posreduje, kje se prevaja in kateri resolver prejmejo odjemalci.
Ta razlika je pomembna, ker pokvarjen LAN običajno pomeni, da se je spremenila ena od teh treh politik, ne da je usmerjevalnik prenehal biti stikalo. Usmerjevalnik, ki se še vedno odziva na lastno skrbniško stran, je dokaz, da vmesnik LAN živi. Usmerjevalnik, ki se ne odziva na nič, ima drugo težavo, na primer spremenjen naslov LAN ali odjemalca v napačnem podomrežju.
Zato je koristen prvi korak ugotoviti, kateri sloj se je zlomil, ne pa spremeniti sloj, ki ga sumite.
Preden se dotaknete nastavitve, preizkusite tri cilje
Z žičnega odjemalca ločeno preizkusite tri cilje in zapišite vsak rezultat: lastni naslov LAN usmerjevalnika, drugo napravo na istem stikalu po IP in nekaj, kar je dosegljivo samo skozi tunel. Naredite jih v tem vrstnem redu, ker vsak rezultat izključi drug sloj. V prvem krogu uporabite naslove namesto imen, ker napaka imena vmešava DNS v vprašanje povezljivosti.
Vzorec odgovorov je diagnoza. Usmerjevalnik, ki odgovarja, medtem ko lokalne naprave ne, kaže na lokalno preklapljanje ali funkcijo filtriranja, ne na usmerjanje. Lokalne naprave, ki odgovarjajo, medtem ko stran tunela ne, kažejo na pot tunela ali oddaljeni požarni zid. Če vse odgovarja po naslovu, imena pa odpovedo, je to vprašanje resolverja in nobeno urejanje poti tega ne bo odpravilo.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Tabelo imejte ob rezultatih testov. Nejasno pritožbo spremeni v eno vrstico, po kateri lahko ukrepate.
Varnostni sloj znotraj poti posredovanja
Potrošniški usmerjevalniki so vse pogosteje opremljeni s funkcijo pregleda, ki nadzira posredovani promet, in ta deluje na isti poti, ki nosi pakete iz LAN v tunel. Ko ta pregled ne more razvrstiti prometa tunela, se posredovanje lahko ustavi, medtem ko tunel sam ostane aktiven in usmerjevalnik poroča o zdravem povezavi. Nič v dnevniku VPN tega ne pokaže, ker se je VPN dejansko povezal.
Diagnoza je nadzorovan poskus, ne trajna sprememba. Zapišite trenutno nastavitev, izklopite funkcijo za čas enega testa, znova dvignite tunel in preizkusite enega lokalnega gostitelja po naslovu. Posredovanje, ki se vrne, je dokaz, ki ste ga potrebovali, in kompromis takrat postane odločitev namesto ugibanja. Če se nič ne spremeni, jo takoj znova vklopite in pojdite k vzroku naslavljanja.
Pustiti plačano varnostno funkcijo izklopljeno, da tunel še naprej deluje, je kompromis, ki ga je treba narediti zavestno in ga zapisati. Vprašati velja tudi, ali tunel spada na drugo napravo, ker sta usmerjevalnik, ki mora vse pregledati, in usmerjevalnik, ki mora vse posredovati, dve različni deli.
Drugi vzrok: obseg LAN se je premaknil
Posodobitve firmware redno vrnejo naslov LAN na privzeto vrednost proizvajalca, nekateri usmerjevalniki pa imajo izrecno stikalo načina, ki odloči, ali LAN obdrži zasebni obseg ali ga podeduje od naprave nad njim. Odjemalec, ki pričakuje 192.168.8.x, lahko konča na 10.64.0.x, nato pa seja SSH do gostitelja poteče, čeprav je tunel popolnoma zdrav.
ipconfig /all
ip addr show
ip route get 192.168.8.20Preberite predpono in prehod iz najema, preden odprete stran usmerjevalnika. Prva dva ukaza pokažeta, kaj je odjemalec dejansko prejel, tretji pa pokaže, kateri vmesnik bi odjemalec uporabil za lokalni naslov, in tako se razkrije preostala pot ali zastarelo podomrežje. Nato to primerjajte s stranjo LAN in načinom, v katerem je usmerjevalnik.
Če se obseg ne more vrniti, posodobite vsak objekt, ki ga imenuje: rezervacije DHCP, vsako statično pot v staro podomrežje in vsako pravilo požarnega zidu s prejšnjo predpono. Obseg, ki trči ob oddaljeno podomrežje tunela, je slabša različica, ker lokalne naprave ostanejo dosegljive, oddaljeni cilji pa se tiho usmerjajo narobe v LAN.
Znova se povežite in znova preizkusite v vrstnem redu paketov
Po kateri koli od dveh sprememb znova povežite tunel in ponovite teste v vrstnem redu paketov: usmerjevalnik, lokalni gostitelj, oddaljeni gostitelj, nato imena, nato aplikacija. Če aplikacijo preizkusite najprej, skrijete, kateri sloj je še vedno pokvarjen, in ponoven poskus brskalnika z imenom v predpomnilniku je lahko videti kot napaka usmerjanja.
Zapišite različico firmware, predpono LAN in stanje funkcije pregleda ob profilu VPN. Vsi trije so konfiguracija, ki jo lahko naslednja posodobitev prepiše, in dve vrstici zapiskov prihranita uro, ki ste jo pravkar preživeli.