Përshtatësi VPN tregon /32: kjo nuk do të thotë një destinacion i vetëm

Përshtatësit tregojnë 255.255.255.255, dhe shpesh përfundimi është se VPN arrin saktësisht një adresë. Ky lexim ngatërron adresën e vetë klientit me bashkësinë e destinacioneve që rrugëtohen përmes tunelit. Në një ndërfaqe pikë-për-pikë ose të rrugëtuar, të dyja janë objekte të ndryshme, dhe vetëm njëri prej tyre kufizon arritshmërinë. Miti vazhdon sepse maska duket si maska e nënrrjetit që njerëzit mësuan në Ethernet.

Miti: një maskë hosti do të thotë një host i vetëm i arritshëm

Një caktim /32 i thotë ndërfaqes se cila adresë i përket këtij skaji të lidhjes, dhe në një lidhje pikë-për-pikë kjo është gjithçka që do të thotë. Adresa e partnerit është një fushë më vete, dhe rrugët që thonë çfarë ndodhet përtej partnerit janë përsëri të veçanta. Asgjë në maskë nuk e përshkruan rrjetin e largët, sepse maska nuk është vendi ku përshkruhen rrjetet e largëta. Ta lexosh si kufi arritshmërie është si të lexosh numrin e shtëpisë tënde si një listë të të gjitha adresave që lejohesh të vizitosh.

Ngatërrimi ka një rrënjë reale: në Ethernet, një maskë hosti vërtet do të thoshte një adresë të vetme në atë segment. Një tunel nuk është segment Ethernet, dhe çfarë kalon nëpër të vendoset nga tabela e rrugëtimit të klientit, jo nga maska. Prandaj e njëjta /32 mund të qëndrojë përpara një qendre të tërë të dhënash.

Lexoni adresën dhe rrugët si objekte të veçanta

Shtypni ndërfaqen dhe tabelën së bashku, pastaj lexojini si dy përgjigje për dy pyetje. Adresa përgjigjet se kush është ky skaj; rrugët përgjigjen se ku mund të shkojë trafiku. Një pyetje e tretë, cilat destinacione lejon porta, nuk shihet fare në klient. Referenca e adresave e iproute2 përshkruan veçmas fushat e adresës vendore, partnerit dhe rrugës së prefiksit pikërisht për këtë arsye.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Në Windows ekziston i njëjti ndarje midis listës së adresave dhe tabelës së rrugëtimit, dhe komanda e kërkimit është mënyra më e shpejtë për të parë cila fiton për një destinacion të caktuar. Nëse kërkimi kthen ndërfaqen e tunelit, klienti do ta dërgojë paketën atje. Nëse kthen përshtatësin fizik, klienti nuk e pyet kurrë VPN-in, dhe asnjë leje në anën e serverit nuk e ndryshon këtë. Kontrolloni destinacionin që ju nevojitet vërtet, jo një adresë publike të përgjithshme.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Ndaloni nëse kërkimi tregon ndërfaqen e gabuar. Ky është një problem rrugëtimi i klientit, dhe rregullohet në klient.

Pse zgjerimi i maskës zakonisht e përkeqëson

Ndryshimi i caktimit në një /24 për të dukur si LAN-i i zyrës mund të krijojë një prefiks në lidhje: bërthama tani beson se e gjithë /24 është e lidhur drejtpërdrejt me ndërfaqen e tunelit. Trafiku për adresat që duhet të rrugëtohen përmes portës dërgohet atëherë sikur një fqinj të ishte në lidhje. Rezultati është një vrimë e zezë që duket si dështim i serverit.

Ai fsheh gjithashtu problemin e vërtetë, pra një rrugë që mungon ose një leje që mungon në portë. Asnjërën nuk e krijon një maskë më e gjerë, dhe të dyja i mbijetojnë ndryshimit. Nëse dizajni kërkon një prefiks më të madh në ndërfaqe, ky është një vendim për modelin e ndërfaqes që përdoret, i marrë me dokumentacionin në dorë. Kopjimi i një maske nga pamjet e ekranit të një produkti tjetër nuk është ai vendim.

Nëse mungon rruga e prefiksit të largët, rregulloni sigurimin e saj. Nëse është e pranishme dhe lidhja refuzohet përsëri, maska nuk ishte kurrë diagnoza.

Kur rruga është e saktë dhe rrjedha dështon përsëri

Një rrugë e saktë provon vetëm se klienti do ta dërgojë paketën. Porta duhet ende ta pranojë destinacionin, rruga e kthimit duhet të ekzistojë për adresën e caktuar, dhe shërbimi duhet ta lejojë rrjedhën. Testoni këto tre veçmas: kërkimin në klient, shtrirjen e lejuar të portës dhe një kërkesë drejt një serveri të nevojshëm. Që vërtetimi të ketë sukses përpara se të treja të jenë në vend është normale, dhe prandaj një klient i lidhur mund të mos arrijë asgjë.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Mbani objektet e rrjetit dhe lejet e grupit pranë pronarit të tyre në një shërbim të administruar nga një pajisje. Çfarë i thuhet klientit të arrijë dhe çfarë lejohet të përdorë janë cilësime të ndryshme, shpesh në ekrane të ndryshme. Ndryshimi i njërës dhe testimi i tjetrës është mënyra se si një tiketë kërcen midis dy ekipeve.

Miti që duhet pensionuar është se maska është një kufi arritshmërie. Lexoni adresën, rrugët dhe politikën e portës si tre fakte të veçanta, dhe një /32 nuk duket më si kufizim dhe fillon të duket si një caktim normal tuneli.