Ajo adresë L2TP është IPCP, jo një qira DHCP në LAN

Lidhja ngrihet dhe përshtatësi shfaq një adresë brenda intervalit të zyrës, pra përfundimi i natyrshëm është se VPN-ja ju dha një adresë LAN dhe kështu ju vendosi në LAN. Asnjëra nga dy gjysmat nuk është plotësisht e saktë. L2TP mbart një sesion PPP, dhe PPP negocion adresën e brendshme IPv4 me IPCP. Ajo adresë është një parametër sesioni i rënë dakord mes dy palëve, jo një qira e lëshuar nga serveri DHCP i zyrës, dhe mbajtja e saj nuk ju bën fqinj në kabllon e zyrës.

Dy adresa në një lidhje

Ka dy negociime të pavarura në një lidhje L2TP. Ajo e jashtme ndërton një rrugë të mbrojtur mes pajisjes suaj dhe pikës fundore të VPN-së përmes çdo rrjeti që keni tashmë. Ajo e brendshme është sesioni PPP, dhe aty bien dakord adresa e sesionit tuaj dhe adresa e palës tjetër. Trafiku i internetit mund të dalë plotësisht nën një adresë të tretë, adresën publike të pikës fundore, dhe për këtë arsye një faqe kontrolli VPN dhe adresa e përshtatësit rrallë përputhen.

Mbajtja e këtyre tre roleve të ndara i përgjigjet shumicës së pyetjeve që njerëzit sjellin në këtë shtresë. Një numër privat në ndërfaqen VPN është normal dhe i pritshëm. Ai nuk thotë asgjë për faktin nëse pika fundore ndryshoi daljen tuaj publike, dhe në vetvete nuk vendos cilat destinacione arrin trafiku juaj.

Çfarë bën saktësisht IPCP

IPCP është protokolli i kontrollit IPv4 për PPP. Secila palë dërgon mesazhe Configure-Request që përshkruajnë opsionet që dëshiron, dhe opsioni i adresës është njëri prej tyre. Një klient që nuk ka ende adresë zakonisht pyet me 0.0.0.0, dhe serveri përgjigjet me një Configure-Nak që mbart adresën që dëshiron të përdorë klienti. Pastaj klienti kërkon atë adresë, dhe sesioni ngrihet me një adresë lokale dhe një të largët.

Ky shkëmbim është dokumentuar në specifikimet PPP dhe IPCP, dhe shpjegon një detaj që duket si gabim: adresa zgjidhet nga serveri sipas politikës së tij, e cila mund të jetë një grup, një rregullim për përdorues ose një adresë e lidhur me identitetin e autentikuar. Kur grupi shteron, ose politika bie ndesh me kërkesën, autentikimi mund të ketë sukses ndërsa negociimi i adresës dështon, dhe klienti raporton një lidhje që nuk stabilizohet kurrë.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Një rresht në regjistrin e pppd që përmend një adresë lokale dhe një të largët është fundi i suksesshëm i atij negociimi. Mungesa e tij, pranë një autentikimi të suksesshëm, tregon fazën e adresës dhe jo kredencialet.

Pse LAN-i nuk mund t’ju përgjigjet

Një adresë nga intervali i palës së largët krijon pritshmërinë që hostet në atë LAN mund t’ju arrijnë, dhe kryesisht nuk munden, përveç nëse serveri e drejton adresën e sesionit tuaj përsëri në tunel. Të jesh brenda një grupi është deklaratë për ndarjen, jo për topologjinë. Serveri i skedarëve i zyrës nuk ka rrugë drejt adresës së sesionit tuaj përveç nëse serveri VPN e përcjell, dhe mbase as nuk lejohet edhe kur e përcjell.

Prandaj edhe intervalet që mbivendosen shkaktojnë probleme joproporcionale me madhësinë e tyre të dukshme. Nëse grupi mbivendoset me një LAN që klienti e përdor tashmë, tabela e rrugëzimit e klientit tani ka dy kërkesa për të njëjtin parashtesë, dhe e gabuara shpesh fiton për arsye që nuk kanë lidhje me tunelin.

Verifikoni sesionin, pastaj rrugën

Kontrolloni së pari ndërfaqen, pastaj rrugët, pastaj një destinacion që ka rëndësi. Çdo hap ka mënyrën e vet të dështimit, dhe testimi i të treve njëherësh prodhon një përfundim që nuk do të mund ta mbroni më vonë.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Nëse kontrolli publik tregon adresën e pikës fundore ndërsa një destinacion privat skadon, tuneli mbart rrugën tuaj të parazgjedhur dhe pala e largët nuk përgjigjet për atë destinacion. Nëse destinacioni privat përgjigjet por kontrolli publik nuk ndryshon, profili përdor tunel të ndarë dhe vetëm një pjesë e trafikut përdor sesionin.

Mbani tre fazat të ndara

Autentikimi, negociimi i adresës dhe përcjellja dështojnë në mënyra të ndryshme, dhe secila ka përgjegjës të ndryshëm. Kredencialet janë problem identiteti, shterimi i IPCP është problem i politikës së serverit, dhe një rrugë kthimi që mungon është problem i projektimit të rrjetit. Raportimi i të treve si “VPN është prishur” garanton një rregullim të ngadaltë.

Shënoni adresën e dhënë, grupin nga i cili erdhi dhe nëse LAN-i duhet ta arrijë. Ai shënim i vetëm e pengon personin tjetër të supozojë një qira DHCP dhe të kërkojë një interval që nuk ishte përfshirë kurrë.