Jepuni host-ve të LAN një rrugë kthimi VPN me opsionin 121 të DHCP

Klientët VPN në distancë lidhen, serveri i LAN-it përgjigjet, dhe përgjigjja del përmes ruterit të zakonshëm të internetit dhe vdes atje. Një server mund të rregullohet me një rrugë statike, por një nënrrjet i tërë prej tyre trajtohet më mirë aty ku ata marrin tashmë konfigurimin e tyre të rrjetit. Opsioni 121 i DHCPv4 shpërndan pikërisht atë lloj rruge destinacioni, dhe është pjesa që njerëzit zakonisht e bëjnë gabim në momentin që harrojnë të paracaktuarën. Simptomi është trafik në një drejtim: kërkesat mbërrijnë dhe përgjigjjet zhduken.

Së pari emërtoni tre adresat

Merrni një LAN konkret: 192.168.50.0/24 me ruterin e paracaktuar të zakonshëm në 192.168.50.1 dhe një portë VPN të veçantë në 192.168.50.2. Klientët në distancë të vërtetuar zënë 10.90.0.0/24.

Rruga që i duhet çdo hosti pjesëmarrës është 10.90.0.0/24 via 192.168.50.2. Destinacioni është grupi i klientëve, dhe hapi tjetër është adresa LAN e portës, jo adresa e saj e tunelit.

Kodifikojeni si rrugë statike pa klasa

Opsioni 121 mbart çifte prefiksi dhe hapi tjetër, dhe RFC 3442 përcakton si kodifikimin ashtu edhe sjelljen e klientit që rrjedh prej tij. Për një instancë ekzistuese dnsmasq që shërben vetëm këtë LAN ilustruese, forma e konfigurimit është:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Ky është një fragment, jo një shërbim i ri DHCP. Në një server që trajton disa segmente, kufizoni opsionin me etiketat ose politikën e rrjetit që përdorni tashmë. Mbani konfigurimin e mëparshëm pranë, sepse kthimi pas do të thotë një rinovim tjetër i qirasë, jo një rindezje.

Mos e humbni rrugën e paracaktuar

Kjo është kurthi. Një klient që merr opsionin 121 duhet të injorojë opsionin e zakonshëm Router, kështu që shpallja vetëm e rrugës së grupit VPN mund ta lërë atë host plotësisht pa rrugë të paracaktuar. Makina vazhdon të duket e konfiguruar dhe e humbet internetin në heshtje. Përdoruesit e përshkruajnë atë si rrjet të rënë ndërsa çdo ndërfaqe është aktive.

Përfshini të paracaktuarën e synuar në të njëjtën listë, siç bën fragmenti më lart. Mbani edhe opsionin e zakonshëm Router për klientët që nuk zbatojnë rrugë pa klasa; trajtimi i opsioneve nga vetë serveri vendos çfarë dërgohet kujt.

Kontrolloni çfarë do të pranojë klienti

Një host me adresë të vendosur me dorë nuk e kap kurrë këtë, sepse nuk kërkon një qira. Edhe mbështetja e klientëve ndryshon, prandaj provojeni në sistemin operativ që përdorni vërtet, në vend që të supozoni se çdo pajisje respekton opsionin 121. Konfirmoni me pronarët e atyre serverëve cilët kanë adresë statike. Atyre hosteve u duhen shënimet e tyre të rrugës, përndryshe thjesht nuk do të marrin pjesë.

Shërbimet e menaxhuara DHCP janë një kufi tjetër. Disa rrjete cloud nuk i lejojnë administratorët të publikojnë opsione arbitrare, dhe një server DHCP konkurrues në të njëjtin segment është më keq sesa asnjë opsion fare.

Verifikoni qiranë, pastaj kërkimin

Kërkojini pronarit të DHCP të zbatojë ndryshimin, pastaj rinovoni qiranë në një klient. Qiratë ekzistuese mbajnë konfigurimin e vjetër derisa të rinovohen, prandaj rezultatet e menjëhershme nuk janë të garantuara.

Në një klient Linux, lexoni rrugët reale dhe konfirmoni të dyja shënimet:

ip -4 route
ip -4 route get 10.90.0.23

Kërkimi kontekstual duhet të tregojë rrugën e grupit përmes 192.168.50.2 dhe të paracaktuarën përmes 192.168.50.1. Nëse mungon e paracaktuara, keni riprodhuar kurthin më lart.

Pastaj provoni shkëmbimin e vërtetë

Shpërndarja e rrugëve nuk është e gjithë rruga. Porta e veçantë ka ende nevojë për përcjellje, pronësi të partnerëve në distancë dhe një politikë aksesi që lejon serverin, dhe DHCP nuk vërteton askënd.

Së fundi, mbani një plan heqjeje. Një rrugë statike e mësuar nuk tërhiqet vetë kur VPN bie, prandaj një hap tjetër i vjetruar mund ta kthejë atë prefiks në një vrimë të zezë shumë kohë pasi tuneli është zhdukur.