Копирање /32 тунела неће усмерити канцеларијску подмрежу
Адреса коју VPN даје вашем адаптеру описује везу, а не одредиште. Додајте префикс ресурса у профил и оставите подразумевану руту на миру.
VPN се повезује, интерфејс приказује адресу са маском од тридесет два бита, а канцеларијски сервер остаје недоступан. Следећи корак је често поновна употреба те маске у рути, с теоријом да интерфејс описује докле тунел може да стигне. Не описује. Та адреса описује локални крај везе тачка-тачка, а одредиште до којег вам је стало налази се у другом префиксу са друге стране.
Мешају се две различите ствари: адреса коју вам је тунел дао и мрежа до које желите да стигнете кроз њега.
Две адресе, два посла
У тунелу тачка-тачка, адреса клијента је често једна адреса домаћина јер на другом крају везе постоји тачно један партнер. Нема заједничког сегмента ни ARP-а, па је маска која би на Ethernet-у изгледала апсурдно овде сасвим нормална.
Префикс одредишта је чињеница о канцеларијској мрежи, не о тунелу. Ако вам треба један сервер, рута је рута домаћина за тај сервер. Ако вам треба цела канцеларијска подмрежа, рута је подмрежа. Ниједан од та два одговора не може се прочитати са интерфејса, а избор једног зато што се појавио поред адресе тунела јесте начин да се радна конфигурација поквари.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Трећи ред је место где оптимизам постаје прекид. Усмеравање целог приватног опсега у тунел који служи само једном локалитету гура неповезани саобраћај на пут који га не може доставити, а настали кварови изгледају као покварен VPN, а не као преширока рута.
Изаберите префикс из захтева
Пре него што дотакнете профил, напишите захтев као реченицу: који домаћини морају бити достижни и који је најужни префикс који их покрива? Један сервер је рута домаћина. Подмрежа је рута подмреже. Опсег подмрежа је сажетак, а сажетак је обећање да је свака адреса унутра достижна, што је ретко тачно.
Затим проверите број према ономе што канцеларија стварно користи. Копирање префикса из чат поруке без потврде према плану адресирања локалитета јесте начин на који рута заврши показујући на подмрежу коју нико не поседује.
Запамтите и да је рута пут, а не дозвола. Пропусник и даље одлучује да ли ваш клијент сме да користи одредиште, а услуга вас и даље може одбити. Исправно инсталирање руте доводи пакет тамо и не одговара ништа о ауторизацији.
Додајте у профил, никада га не замењујте
Руте у профилу NetworkManager-а су вишевредно својство, а разлика између постављања и додавања је један знак. Користите облик са плусом да додате ставку и задржите све што је већ сачувано.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Без плуса, додела замењује целу листу. На профилу који већ носи неколико префикса то тихо брише оне који су радили, а симптом долази касније као услуга која је раније била достижна са овог лаптопа.
Користите UUID уместо имена. Имена се дуплирају после враћања, а веза коју уређујете можда није она која носи ваш саобраћај. Прво проверите да ли постоји идентична ставка, јер је додавање дупликата неуредно чак и када је безопасно.
Ова референца за својства рута документује одредиште, опциони следећи скок, метрику и синтаксу атрибута за инсталирану верзију. Прочитајте је пре додавања следећег скока, јер да ли је потребан зависи од интеграције и топологије, а погађање из прве адресе у списку интерфејса није метод.
Подразумевана рута и DNS су одвојене одлуке
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Аутоматске руте су друга ствар коју не треба немарити. Њихово потискивање да би се решила једна ставка која недостаје може уклонити неколико радних, а онај који је то предложио обично је гледао други профил са другим push-евима.
DNS има свој пут и своје кварове. Име које се преко погрешног резолвера разрешава на исправну адресу, или резолвер који не може да одговори за приватну зону, изгледаће као проблем рутирања док је рута беспрекорна. Тестирајте адресу и име одвојено, па одлучите који је слој заиста заказао.
Проверите шта је примењено
Сачувана измена није примењена измена. Поново се повежите кроз подржани животни циклус менаџера, па погледајте стварну руту до предвиђеног одредишта и правила политике која одлучују која се табела консултује.
Ако префикс постоји, а веза и даље не успева, прешли сте на други проблем: избор изворне адресе, повратна рута на далеком крају или услуга која одбија вашег клијента. Свако од тога је боље место за гледање од профила који сте већ исправили.