Рутер у VPN клијентском режиму: зашто нестају LAN уређаји

Уверење да клијентски режим сам по себи убија LAN приступ води људе у погрешан мени подешавања, а прави узроци су обично два. Тунел не уклања LAN мост и не спречава жичане и бежичне клијенте да стигну једни друге. Локални приступ крши или функција прегледа у путу прослеђивања рутера, или LAN опсег адреса који се померио када је фирмвер то урадио. Оба дају исту жалбу, и ниједно се не поправља поновним инсталирањем VPN профила.

Мит и шта клијентски режим заиста мења

Клијентски режим додаје тунелски интерфејс и подразумевану руту која иде кроз њега, а затим прослеђује LAN саобраћај у тај тунел. Мост између жичаних портова и бежичних радио модула остаје нетакнут, као и локално преклапање. Оно што се мења је политика: који саобраћај се прослеђује, где се преводи и који резолвер добијају клијенти.

Ова разлика је важна јер покварен LAN обично значи да се променила једна од те три политике, а не да је рутер престао да буде прекидач. Рутер који још одговара на сопствену административну страницу доказ је да је LAN интерфејс жив. Рутер који уопште не одговара има други проблем, као што је промењена LAN адреса или клијент у погрешној подмрежи.

Зато је користан први корак открити који се слој покварио, а не мењати слој који сумњичите.

Проверите три циља пре него што додирнете подешавање

Са жичаног клијента проверите три циља одвојено и запишите сваки резултат: сопствену LAN адресу рутера, други уређај на истом прекидачу по IP-у и нешто доступно само кроз тунел. Урадите то тим редоследом, јер сваки резултат искључује други слој. У првом кругу користите адресе уместо имена, јер неуспех имена меша DNS у питање повезаности.

Образац одговора је дијагноза. Рутер који одговара док локални уређаји не одговарају указује на локално преклапање или функцију филтрирања, а не на рутирање. Локални уређаји који одговарају док страна тунела не одговара указују на тунелску руту или удаљени firewall. Ако све одговара по адреси, а имена не успевају, то је питање резолвера и никакво уређивање рута то неће поправити.

Држите табелу поред резултата теста. Она претвара нејасну жалбу у један ред по коме можете да поступите.

Безбедносни слој унутар пута прослеђивања

Потрошачки рутери све чешће долазе са функцијом прегледа која надгледа прослеђени саобраћај, и она ради у истом путу који носи пакете од LAN-а до тунела. Када та провера не може да класификује тунелски саобраћај, прослеђивање може да стане док сам тунел остаје активан и рутер пријављује здраву везу. Ништа у VPN дневнику то не показује, јер се VPN заиста повезао.

Дијагноза је контролисани експеримент, а не трајна промена. Запишите тренутно подешавање, искључите функцију на време једног теста, поново подигните тунел и проверите један локални домаћин по адреси. Прослеђивање које се врати је доказ који вам је требао, и тада компромис постаје одлука уместо нагађања. Ако се ништа не промени, одмах је поново укључите и пређите на узрок адресирања.

Оставити плаћену безбедносну функцију искључену да би тунел наставио да ради је компромис који треба направити свесно и записати. Вреди и питати да ли тунел припада другом уређају, јер рутер који мора све да прегледа и рутер који мора све да проследи су два различита посла.

Други узрок: LAN опсег се померио

Ажурирања фирмвера редовно враћају LAN адресу на подразумевану вредност произвођача, а неки рутери имају јасан прекидач режима који одлучује да ли LAN задржава приватни опсег или наслеђује један од уређаја изнад. Клијент који очекује 192.168.8.x може да заврши на 10.64.0.x, и тада SSH сесија ка домаћинству истиче иако је тунел потпуно здрав.

ipconfig /all
ip addr show
ip route get 192.168.8.20

Прочитајте префикс и мрежни пролаз из закупа пре него што отворите страницу рутера. Прве две команде показују шта је клијент заиста добио, а трећа показује који би интерфејс клијент користио за локалну адресу, и тако се открива преостала рута или застарела подмрежа. Затим то упоредите са LAN страницом и режимом у коме је рутер.

Ако опсег не може да се врати, ажурирајте сваки објекат који га именује: DHCP резервације, сваку статичку руту у стару подмрежу и свако правило firewall-а које носи претходни префикс. Опсег који се судара са удаљеном подмрежом тунела је гори варијанта, јер локални уређаји остају доступни док се удаљена одредишта тихо усмеравају у LAN.

Поново се повежите и тестирајте по реду пакета

После било које од две промене поново повежите тунел и поновите тестове по реду пакета: рутер, локални домаћин, удаљени домаћин, затим имена, затим апликација. Тестирање апликације прво крије који је слој још покварен, а поновни покушај прегледача ка кешираном имену може да изгледа као грешка рутирања.

Запишите верзију фирмвера, LAN префикс и стање функције прегледа поред VPN профила. Сва три су конфигурација коју следеће ажурирање може да препише, а два реда белешки штеде сат који сте управо провели.