VPN адаптер приказује /32: то не значи само једну дестинацију

Адаптери приказују 255.255.255.255, а закључак је често да VPN достиже тачно једну адресу. Такво читање меша сопствену адресу клијента са скупом одредишта која се усмеравају кроз тунел. На тачка-на-тачку или рутираном интерфејсу то су два различита објекта, и само један од њих ограничава достижност. Мит опстаје зато што маска изгледа као маска подмреже коју су људи научили на Ethernet-у.

Мит: маска домаћина значи једног достижног домаћина

Додела /32 каже интерфејсу која адреса припада овом крају везе, а на тачка-на-тачку вези то је све што значи. Адреса партнера је засебно поље, а руте које кажу шта лежи иза партнера опет су засебне. Ништа у маски не описује удаљену мрежу, јер маска није место где се описују удаљене мреже. Читати је као границу достижности исто је што и читати сопствени кућни број као списак свих адреса које смете да посетите.

Забуна има стварни корен: на Ethernet-у би маска домаћина заиста значила једну једину адресу у том сегменту. Тунел није Ethernet сегмент, а о томе шта пролази кроз њега одлучује табела рутирања клијента, не маска. Зато иста /32 може стајати пред целим центром података.

Читајте адресу и руте као засебне објекте

Испишите интерфејс и табелу заједно, па их читајте као два одговора на два питања. Адреса одговара ко је овај крај; руте одговарају куда сме саобраћај да иде. Треће питање, која одредишта пролаз дозвољава, уопште се не види на клијенту. Референца за адресе iproute2 управо зато засебно описује поља локалне адресе, партнера и руте префикса.

ip addr show tun0
ip route show
ip route get 10.60.5.10

У Windows-у постоји иста подела између списка адреса и табеле рутирања, а наредба за претрагу је најбржи начин да видите која побеђује за одређено одредиште. Ако претрага врати тунелски интерфејс, клијент ће пакет послати тамо. Ако врати физички адаптер, клијент никада не пита VPN, и никаква дозвола на страни сервера то неће променити. Проверите одредиште које вам стварно треба, а не општу јавну адресу.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Зауставите се ако претрага показује на погрешан интерфејс. То је проблем рутирања на клијенту и решава се на клијенту.

Зашто проширење маске обично погоршава ствар

Промена доделе у /24 да би изгледала као канцеларијски LAN може створити префикс на вези: језгро сада верује да је цела /24 директно прикључена на тунелски интерфејс. Саобраћај ка адресама које би требало усмерити кроз пролаз тада се шаље као да је комшија на вези. Резултат је црна рупа која изгледа као отказ сервера.

Она такође крије прави проблем, а то је рута која недостаје или дозвола која недостаје на пролазу. Ни једно ни друго не ствара шира маска, и обоје преживе промену. Ако пројекат захтева већи префикс на интерфејсу, то је одлука за коришћени модел интерфејса, донета са документацијом у руци. Копирање маске са снимака екрана другог производа није та одлука.

Ако недостаје рута удаљеног префикса, поправите њено обезбеђење. Ако постоји, а веза се и даље одбија, маска никада није била дијагноза.

Када је рута исправна, а ток ипак не успева

Исправна рута доказује само да ће клијент послати пакет. Пролаз још мора да прихвати одредиште, повратни пут мора да постоји за додељену адресу, а услуга мора да дозволи ток. Испробајте то троје одвојено: претрагу на клијенту, дозвољени обим пролаза и захтев ка једном потребном серверу. Успешна аутентификација пре него што сва три буду на месту је нормална, и зато повезан клијент ипак може никуда да не стигне.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Држите мрежне објекте и дозволе група уз њиховог власника на услузи којом управља уређај. Оно што се клијенту каже да достигне и оно што му је дозвољено да користи су различите поставке, често на различитим екранима. Променити једно и тестирати друго је начин на који захтев скаче између два тима.

Мит који треба пензионисати је да је маска граница достижности. Читајте адресу, руте и политику пролаза као три одвојене чињенице, и /32 престаје да изгледа као ограничење и почиње да изгледа као уобичајена додела тунела.