Pse një VPN me tunel të plotë i fsheh VLAN-et lokale të rrugëtuara

Ndërprerësi «rrjet lokal i lejuar» në një klient VPN tingëllon sikur mbulon gjithçka në godinë. Në praktikë ai zakonisht shton disa përjashtime të adresave private te rruga e paracaktuar e tunelit dhe ndalet aty. VLAN-i i ruajtjes tuaj mbetet i arritshëm vetëm nëse një rrugë për atë prefiks të caktuar i mbijeton mbërritjes së tunelit, dhe në shumë klientë kjo nuk ndodh.

Kjo është pyetje rrugëtimi dhe jo ndonjë cilësim VPN, gjë që është lajm i mirë: ka një përgjigje konkrete.

Çfarë mbulon në të vërtetë rrjeti lokal i lejuar

Klientët e zbatojnë atë opsion në mënyra të ndryshme. Disa shtojnë rrugë për nënrrjetin ku është e lidhur makina, disa shtojnë intervalet RFC 1918, dhe pak prej tyre përjashtojnë vetëm portën e paracaktuar. Asnjëri prej tyre nuk e di se ruteri i zyrës suaj shërben edhe një VLAN ruajtjeje, një segment laboratori ose një nënrrjet printerësh, sepse ato prefikse nuk janë në lidhjen që klienti mund të shohë. Lexoni dokumentacionin e vetë klientit për sjelljen e saktë, në vend që të supozoni se etiketa përshkruan topologjinë tuaj.

Ky dallim ka më së shumti rëndësi në një dizajn tuneli të plotë, ku klienti zëvendëson qëllimisht rrugën e paracaktuar që i gjithë trafiku të kalojë nëpër VPN. Ky është pikërisht qëllimi i dizajnit dhe gjithashtu ajo që i bën rrjetet lokale të rrugëtuara të zhduken. Ato nuk ishin mbuluar kurrë nga një rrugë e tyre; ato udhëtonin mbi rrugën e paracaktuar që sapo u zëvendësua. Një klient nuk mund të rrugëtojë atë që nuk e di se ekziston, dhe ai mëson vetëm për prefikset e lidhura me ndërfaqen e vet. Çdo gjë tjetër duhet të përshkruhet nga dikush që e njeh topologjinë.

Rrugët e lidhura ndalen te ruteri i parë

Një stacion pune në 192.168.10.20/24 me portë 192.168.10.1 merr automatikisht një rrugë të lidhur për 192.168.10.0/24. VLAN-i i ruajtjes në 192.168.20.0/24 është prefiks tjetër, i arritshëm vetëm përmes asaj porte, dhe stacioni nuk ka rrugë për të përtej rrugës së paracaktuar. Përpara se tuneli të ngrihet, rruga e paracaktuar e zakonshme ndodh që e dërgon trafikun e ruajtjes te 192.168.10.1 dhe gjithçka funksionon.

Kur VPN instalon një të paracaktuar tuneli të plotë, paketat për 192.168.20.1 ndjekin paracaktuesin e ri në tunel. Porta e largët nuk e ka idenë se ku banon ai prefiks, kështu që i hedh poshtë ose i përcjell diku të padobishëm. Asgjë nuk ishte konfiguruar gabim në VLAN-in e ruajtjes; rruga e tij ishte huazuar dhe huaja u kërkua mbrapsht.

Tundimi është të kërkosh një përjashtim të gjerë, si një çift rrugësh /1 ose një paracaktues të dytë. Rezistojini. Sa më i ngushtë përjashtimi, aq më i lehtë është të shpjegohet, të auditohet dhe të hiqet kur rrjeti ndryshon.

Vendoseni përjashtimin në tabelën që fiton

Brenda një tabele rrugëtimi, një /24 mund një /0 ose një /1 sipas përputhjes së prefiksit më të gjatë, kështu që një rrugë e caktuar për VLAN-in e ruajtjes përmes portës lokale mjafton, me kusht që tabela të konsultohet fare. Në Linux forma e zakonshme është e shkurtër:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Rrugëtimi me politikë e ndërlikon atë garanci. Një rregull më i hershëm mund ta dërgojë trafikun në një tabelë, rruga e paracaktuar e së cilës tregon në tunel, dhe tabela kryesore që mban /24 tuaj nuk arrihet kurrë. Kontrolloni rregullat përpara se ta konsideroni rrugën autoritative, sepse një zë që duket i saktë në tabelën e gabuar shpjegon një dështim që duket si rrugë e prishur.

Më pas bëjeni zërin të qëndrueshëm përmes mekanizmit të mbështetur të klientit ose menaxherit të rrjetit që zotëron ndërfaqen. Një rrugë e shtypur në prompt zhduket në rilidhjen tjetër, dhe një rrugë e lidhur me një portë të vetme Wi-Fi nuk transferohet në rrjetin tjetër që viziton laptopi.

Emrat dhe politika nuk ndjekin rrugët

Rregullimi i rrugës rikthen paketat, jo emrat. Nëse pajisjet lokale zgjidhen përmes një zgjidhësi të shtyrë që nuk di asgjë për ta, montimi dështon sidoqoftë, edhe pse adresa është e arritshme. Emrat lokalë kërkojnë një rregullim lokal ose DNS të ndarë, dhe ky është vendim i veçantë nga përjashtimi i rrugës.

Politika është përsëri e veçantë. Filtri i aksesit lokal të një klienti VPN mund të ndalojë qëllimisht trafikun drejt intervaleve private, dhe një rrugë nuk e anulon atë rregull. Në një rrjet të pabesueshëm, një adresë private nuk është gjithashtu provë se destinacioni është serveri juaj i ruajtjes, kështu që përjashtimi duhet të jetë po aq i caktuar sa vetë rruga.

Një kontratë që mund ta dorëzoni

Dizajni i përfunduar duhet të lexohet si listë e shkurtër: trafiku i përgjithshëm i internetit ndjek tunelin, dhe këto prefikse lokale të emërtuara e mbajnë rrugën e tyre përmes ruterit lokal. Shkruani prefikset, ndalesën e radhës dhe sufiksin DNS që shkon me to, dhe mbajeni listën aq të shkurtër sa dikush ta verifikojë pa lexuar një tabelë rrugëtimi.

Kujdesuni për mbivendosje mes intervaleve lokale dhe të largëta. Një VLAN ruajtjeje që ndan një prefiks me diçka pas VPN-së do të zgjidhet sipas rrugës më të caktuar, dhe sjellja që rezulton është konfuze në një mënyrë që duket e ndërprerë. Rinumërimi i njërës anë zakonisht kushton më lirë sesa korrigjimi i paqartësisë përgjithmonë.

Provoni kontratën dy herë: një herë me tunelin lart dhe një herë me të ulur. Nëse rruga lokale funksionon vetëm në një nga ato gjendje, përjashtimi nuk është ende kontratë.