Зашто VPN са пуним тунелом скрива ваше рутиране локалне VLAN-ове

Прекидач „дозволи локалну мрежу“ у VPN клијенту звучи као да покрива све у згради. У пракси он обично додаје неколико изузетака за приватне адресе на подразумевану руту тунела и ту се зауставља. Ваш VLAN за складиште остаје доступан само ако рута за тај конкретни префикс преживи долазак тунела, а код многих клијената не преживи.

То је питање рутирања, а не VPN подешавања, што је добра вест: има конкретан одговор.

Шта дозвола локалне мреже заправо покрива

Клијенти ту опцију примењују на различите начине. Неки додају руте за подмрежу на коју је машина прикључена, неки додају опсеге RFC 1918, а ретки искључују само подразумевани гејтвеј. Ниједан од њих не зна да ваш канцеларијски рутер опслужује и VLAN за складиште, лабораторијски сегмент или подмрежу штампача, јер ти префикси нису на вези коју клијент може да види. Читајте документацију самог клијента за тачно понашање уместо да претпостављате да ознака описује вашу топологију.

Та разлика је најважнија у дизајну пуног тунела, где клијент намерно замењује подразумевану руту да би сав саобраћај ишао кроз VPN. То је цела сврха дизајна и управо то чини да локалне рутиране мреже нестану. Оне никада нису биле покривене сопственом рутом; ишле су на подразумеваној рути која је управо замењена. Клијент не може да рутира оно за шта не зна да постоји, а учи само о префиксима везаним за сопствени интерфејс. Све остало мора да опише неко ко познаје топологију.

Повезане руте се заустављају на првом рутеру

Радна станица на 192.168.10.20/24 са гејтвејом 192.168.10.1 аутоматски добија повезану руту за 192.168.10.0/24. VLAN за складиште на 192.168.20.0/24 је други префикс, доступан само кроз тај гејтвеј, и радна станица нема руту за њега осим подразумеване. Пре него што тунел устане, обична подразумевана рута случајно шаље саобраћај ка складишту на 192.168.10.1 и све ради.

Када VPN инсталира подразумевану руту пуног тунела, пакети за 192.168.20.1 прате нову подразумевану руту у тунел. Удаљени гејтвеј нема појма где тај префикс живи, па их одбацује или прослеђује негде бескорисно. Ништа није било погрешно подешено на VLAN-у за складиште; његова путања је била позајмљена, а зајам је опозван.

Искушење је посегнути за широким изузетком, као што је пар рута /1 или друга подразумевана рута. Одуприте се. Што је изузетак ужи, лакше га је објаснити, ревидирати и уклонити када се мрежа промени.

Ставите изузетак у табелу која побеђује

Унутар једне табеле рутирања, /24 побеђује /0 или /1 по најдужем префиксу, па је конкретна рута до VLAN-а за складиште кроз локални гејтвеј довољна, под условом да се табела уопште консултује. На Линуксу је уобичајен облик кратак:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Рутирање по политици компликује ту гаранцију. Раније правило може послати саобраћај у табелу чија сопствена подразумевана рута показује у тунел, и главна табела која држи ваш /24 тада никада није досегнута. Проверите правила пре него што претпоставите да је рута меродавна, јер исправан унос у погрешној табели објашњава квар који изгледа као покварена рута.

Затим учините унос трајним кроз механизам који клијент подржава или кроз мрежни менаџер који поседује интерфејс. Рута откуцана у конзоли нестаје при следећем повезивању, а рута везана за један Wi-Fi гејтвеј није преносива на следећу мрежу коју лаптоп посети.

Имена и политика не прате руте

Поправка руте враћа пакете, не имена. Ако се локални уређаји разрешавају кроз гурнути резолвер који о њима не зна ништа, монтирање и даље не успева иако је адреса доступна. Локална имена захтевају локално решење или подељени DNS, а то је одлука одвојена од изузетка руте.

Политика је опет одвојена. Филтер локалног приступа VPN клијента може намерно да забрани саобраћај ка приватним опсезима, а рута не поништава то правило. На неповерљивој мрежи приватна адреса такође није доказ да је одредиште ваш сервер за складиште, па изузетак треба да буде исто тако конкретан као и сама рута.

Уговор који можете да предате

Завршен дизајн треба да се чита као кратка листа: општи интернет саобраћај прати тунел, а ови именовани локални префикси задржавају своју путању кроз локални рутер. Запишите префиксе, следећи скок и DNS суфикс који иде уз њих, и држите листу довољно кратком да је неко може проверити без читања табеле рутирања.

Пазите на преклапање између локалних и удаљених опсега. VLAN за складиште који дели префикс са нечим иза VPN-а разрешиће се на ону руту која је конкретнија, а резултујуће понашање збуњује тако да изгледа испрекидано. Пренумерисање једне стране обично је јефтиније од вечитог отклањања грешака у тој двосмислености.

Тестирајте уговор двапут: једном са подигнутим тунелом и једном са спуштеним. Ако локална путања ради само у једном од тих стања, изузетак још није уговор.