Дајте LAN домаћинима повратну руту VPN-а путем DHCP опције 121

Удаљени VPN клијенти се повезују, LAN сервер одговара, а одговор излази кроз обичан интернет рутер и ту умире. Један сервер се може поправити статичком рутом, али цео подмрежни скуп њих боље је решити тамо где већ добијају своју мрежну конфигурацију. DHCPv4 опција 121 дистрибуира управо такву руту до одредишта, и то је део који људи обично погреше чим забораве подразумевану руту. Симптом је једносмерни саобраћај: захтеви стижу, а одговори нестају.

Прво именујте три адресе

Узмите конкретну LAN мрежу: 192.168.50.0/24 са уобичајеним подразумеваним рутером на 192.168.50.1 и одвојеним VPN гејтвејем на 192.168.50.2. Аутентификовани удаљени клијенти заузимају 10.90.0.0/24.

Рута која треба сваком хасту учеснику је 10.90.0.0/24 via 192.168.50.2. Одредиште је скуп клијената, а следећи скок је LAN адреса гејтвеја, а не његова адреса у тунелу.

Кодирајте је као безкласну статичку руту

Опција 121 носи парове префикса и следећег скока, а RFC 3442 дефинише и кодирање и понашање клијента које из тога следи. За постојећу dnsmasq инстанцу која служи само овој илустративној LAN мрежи, облик конфигурације је:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

То је фрагмент, а не нова DHCP услуга. На серверу који опслужује неколико сегмената, ограничите опцију ознакама или мрежном политиком коју већ користите. Држите претходну конфигурацију при руци, јер враћање уназад значи још једно обнављање закупа, а не рестарт.

Не изгубите подразумевану руту

То је замка. Клијент који прими опцију 121 мора да занемари обичну Router опцију, па оглашавање само руте VPN скупа може оставити тај хост потпуно без подразумеване руте. Машина и даље изгледа конфигурисано и тихо губи интернет. Корисници то описују као да је мрежа пала док су сви интерфејси подигнути.

Укључите жељену подразумевану руту на исту листу, као што горњи фрагмент чини. Задржите и обичну Router опцију за клијенте који не имплементирају безкласне руте; серверово властито руковање опцијама одлучује шта се коме шаље.

Проверите шта ће клијент прихватити

Хост са ручно додељеном адресом то никада не преузме, јер не тражи закуп. Подршка код клијената такође варира, па тестирајте на оперативном систему који заиста користите уместо да претпоставите да сваки уређај поштује опцију 121. Проверите с онима који поседују те сервере који су статички адресирани. Ти хостови требају властите уносе рута или једноставно неће учествовати.

Управљане DHCP услуге су још једно ограничење. Неке cloud мреже не дозвољавају администраторима објављивање произвољних опција, а конкурентски DHCP сервер на истом сегменту гори је од никакве опције.

Проверите закуп, затим претрагу

Нека власник DHCP-а примени промену, а затим обновите закуп на клијенту. Постојећи закупи задржавају стару конфигурацију док се не обнове, па тренутни резултати нису загарантовани.

На Linux клијенту прочитајте стварне руте и потврдите оба уноса:

ip -4 route
ip -4 route get 10.90.0.23

Контекстна претрага треба да покаже руту скупа кроз 192.168.50.2 и подразумевану кроз 192.168.50.1. Ако подразумевана недостаје, репродуковали сте горњу замку.

Затим тестирајте стварну размену

Дистрибуција рута није цео пут. Одвојени гејтвеј и даље треба прослеђивање, власништво над удаљеним пировима и политику приступа која дозвољава сервер, а DHCP никога не аутентификује.

На крају, имајте план уклањања. Научена статичка рута се не повлачи сама кад VPN падне, па застарео следећи скок може претворити тај префикс у црну рупу много након што тунела више нема.