Vmesnik VPN prikazuje /32: to ne pomeni ene same destinacije

Vmesniki prikazujejo 255.255.255.255, sklep pa je pogosto, da VPN doseže natanko en naslov. Tako branje zamenjuje naslov odjemalca samega z množico ciljev, usmerjenih skozi tunel. Na vmesniku od točke do točke ali usmerjenem vmesniku sta to dva različna objekta in dosegljivost omejuje le eden od njiju. Mit se ohranja, ker je maska videti kot maska podomrežja, ki so se je ljudje naučili na Ethernetu.

Mit: maska gostitelja pomeni enega samega dosegljivega gostitelja

Dodelitev /32 pove vmesniku, kateri naslov pripada temu koncu povezave, in na povezavi od točke do točke je to vse, kar pomeni. Naslov partnerja je ločeno polje, poti, ki povedo, kaj leži onkraj partnerja, pa so spet ločene. Nič v maski ne opisuje oddaljenega omrežja, ker maska ni kraj, kjer se opisujejo oddaljena omrežja. Brati jo kot mejo dosegljivosti je kot brati lastno hišno številko kot seznam vseh naslovov, ki jih smete obiskati.

Zmeda ima resničen koren: na Ethernetu bi maska gostitelja res pomenila en sam naslov v tem segmentu. Tunel ni segment Etherneta, in o tem, kaj gre skozi, odloča usmerjevalna tabela odjemalca, ne maska. Zato lahko ista /32 stoji pred celotnim podatkovnim centrom.

Berite naslov in poti kot ločene objekte

Natisnite vmesnik in tabelo skupaj, nato ju berite kot dva odgovora na dve vprašanji. Naslov odgovarja, kdo je ta konec; poti odgovarjajo, kam sme iti promet. Tretje vprašanje, katere cilje prehod dovoljuje, na odjemalcu sploh ni vidno. Referenca naslovov iproute2 prav zato ločeno opisuje polja krajevnega naslova, partnerja in poti predpone.

ip addr show tun0
ip route show
ip route get 10.60.5.10

V Windowsu obstaja enaka ločitev med seznamom naslovov in usmerjevalno tabelo, ukaz za iskanje pa je najhitrejši način, da vidite, kateri zmaga za določen cilj. Če iskanje vrne tunelski vmesnik, bo odjemalec poslal paket tja. Če vrne fizični vmesnik, odjemalec nikoli ne vpraša VPN in nobeno dovoljenje na strani strežnika tega ne spremeni. Preverite cilj, ki ga res potrebujete, ne splošnega javnega naslova.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Ustavite se, če iskanje kaže na napačen vmesnik. To je težava usmerjanja na odjemalcu in rešuje se na odjemalcu.

Zakaj širjenje maske običajno poslabša stanje

Sprememba dodelitve v /24, da bi bilo videti kot pisarniški LAN, lahko ustvari predpono na povezavi: jedro zdaj verjame, da je cela /24 povezana neposredno s tunelskim vmesnikom. Promet do naslovov, ki bi moral biti usmerjen skozi prehod, se nato pošlje, kot da je sosed na povezavi. Rezultat je črna luknja, ki je videti kot izpad strežnika.

Skrije tudi resnično težavo, to je manjkajočo pot ali manjkajoče dovoljenje na prehodu. Nobenega od tega širša maska ne ustvari in oboje spremembo preživi. Če zasnova zahteva večjo predpono na vmesniku, je to odločitev za uporabljeni model vmesnika, sprejeta z dokumentacijo v roki. Kopiranje maske iz posnetkov zaslona drugega izdelka ni ta odločitev.

Če pot oddaljene predpone manjka, popravite njeno zagotavljanje. Če obstaja in je povezava še vedno zavrnjena, maska nikoli ni bila diagnoza.

Ko je pot pravilna in tok vseeno ne uspe

Pravilna pot dokazuje le, da bo odjemalec poslal paket. Prehod mora še vedno sprejeti cilj, povratna pot mora obstajati za dodeljeni naslov in storitev mora dovoliti tok. Preizkusite te tri ločeno: iskanje na odjemalcu, dovoljeni obseg prehoda in zahtevo na en potreben strežnik. Da avtentikacija uspe, preden so vsi trije na mestu, je običajno, in zato povezan odjemalec lahko vseeno ne doseže ničesar.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Omrežne objekte in dovoljenja skupin hranite pri njihovem lastniku v storitvi, ki jo upravlja naprava. Kaj naj odjemalec doseže in kaj sme uporabljati, so različne nastavitve, pogosto na različnih zaslonih. Spremeniti eno in preizkusiti drugo je način, kako zahtevek skače med dvema ekipama.

Mit, ki se ga je treba posloviti, je, da je maska meja dosegljivosti. Berite naslov, poti in politiko prehoda kot tri ločena dejstva, in /32 ne bo več videti kot omejitev, ampak kot običajna dodelitev tunela.