Kwa nini VPN ya handaki kamili huficha VLAN zako za ndani zinazoelekezwa

Kitufe cha “ruhusu mtandao wa karibu” katika mteja wa VPN kinasikika kama kinashughulikia kila kitu ndani ya jengo. Kwa vitendo kawaida huongeza vighairi vichache vya anwani za kibinafsi kwenye njia ya kawaida ya handaki na kuishia hapo. VLAN yako ya hifadhi bado inafikika tu ikiwa njia ya kiambishi hicho mahususi inastahimili kuwasili kwa handaki, na kwa wateja wengi haistahimili.

Hilo ni swali la uelekezaji badala ya mpangilio wa VPN, jambo ambalo ni habari njema: lina jibu la moja kwa moja.

Ruhusa ya mtandao wa karibu inashughulikia nini hasa

Wateja hutekeleza chaguo hilo kwa namna tofauti. Wengine huongeza njia za subnet ambayo mashine imeunganishwa nayo, wengine huongeza safu za RFC 1918, na wachache huzuia tu lango la kawaida. Hakuna hata mmoja anayejua kuwa router ya ofisi yako pia huhudumia VLAN ya hifadhi, sehemu ya maabara au subnet ya printa, kwa sababu viambishi hivyo haviko kwenye kiungo ambacho mteja anaweza kuona. Soma nyaraka za mteja mwenyewe kwa tabia kamili badala ya kudhani kuwa lebo inaelezea topolojia yako.

Tofauti hiyo ni muhimu zaidi katika muundo wa handaki kamili, ambapo mteja hubadilisha njia ya kawaida kwa makusudi ili trafiki yote ipite kwenye VPN. Hiyo ndiyo lengo la muundo wote, na pia ndiyo inayofanya mitandao ya ndani inayoelekezwa kutoweka. Hawikuwa wakifunikwa na njia yao wenyewe; walikuwa wakipanda njia ya kawaida ambayo imebadilishwa sasa hivi. Mteja hawezi kuelekeza kile asichokijua kipo, na hujifunza tu kuhusu viambishi vilivyounganishwa na kiolesura chake mwenyewe. Kila kitu kingine lazima kielezwe na mtu anayejua topolojia.

Njia zilizounganishwa huishia kwenye router ya kwanza

Kituo cha kazi kilicho 192.168.10.20/24 chenye lango 192.168.10.1 hupata kiotomatiki njia iliyounganishwa ya 192.168.10.0/24. VLAN ya hifadhi iliyo 192.168.20.0/24 ni kiambishi tofauti, kinachofikika tu kupitia lango hilo, na kituo cha kazi hakina njia yake zaidi ya ile ya kawaida. Kabla handaki haijaanza, njia ya kawaida kwa bahati husafirisha trafiki ya hifadhi hadi 192.168.10.1 na kila kitu hufanya kazi.

Wakati VPN inapoweka njia ya kawaida ya handaki kamili, pakiti za 192.168.20.1 hufuata njia mpya ya kawaida kuingia handakini. Lango la mbali halijui kiambishi hicho kinaishi wapi, kwa hiyo hulitupa au hulisambaza mahali pasipofaa. Hakuna kitu kilichokuwa kimepangwa vibaya kwenye VLAN ya hifadhi; njia yake ilikopwa, na mkopo ulidaiwa.

Kishawishi ni kutafuta kighairi kipana, kama jozi ya njia /1 au njia ya pili ya kawaida. Pinga kishawishi hicho. Kadiri kighairi kinavyokuwa chembamba, ndivyo inavyokuwa rahisi kukieleza, kukikagua na kukiondoa mtandao unapobadilika.

Weka kighairi kwenye jedwali linaloshinda

Ndani ya jedwali moja la uelekezaji, /24 hushinda /0 au /1 kwa ulinganifu wa kiambishi kirefu zaidi, kwa hiyo njia mahususi hadi VLAN ya hifadhi kupitia lango la ndani inatosha, mradi jedwali linaulizwa kabisa. Kwenye Linux umbo la kawaida ni fupi:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Uelekezaji wa sera huchanganya dhamana hiyo. Kanuni ya awali inaweza kutuma trafiki kwenye jedwali ambalo njia yake ya kawaida inaelekea handakini, na jedwali kuu linaloshikilia /24 yako halifikiki tena. Kagua kanuni kabla ya kudhani njia ni mamlaka, kwa sababu ingizo linaloonekana sahihi kwenye jedwali lisilofaa hueleza hitilafu inayoonekana kama njia iliyovunjika.

Kisha fanya ingizo lidumu kupitia utaratibu unaoungwa mkono na mteja au meneja wa mtandao anayemiliki kiolesura. Njia iliyoandikwa kwenye kidirisha hupotea wakati wa kuunganishwa tena, na njia inayofungamana na lango moja la Wi-Fi haiwezi kuhamishwa hadi mtandao ujao unaotembelewa na kompyuta ya mkononi.

Majina na sera hazifuati njia

Kurekebisha njia hurejesha pakiti, si majina. Ikiwa vifaa vya ndani vinatafsiriwa kupitia kitatuzi kilichosukumwa kisichojua chochote kuwahusu, upachikaji bado unashindikana ingawa anwani inafikika. Majina ya ndani yanahitaji mpangilio wa ndani au DNS iliyogawanywa, na hilo ni uamuzi tofauti na kighairi cha njia.

Sera ni tofauti tena. Kichujio cha ufikiaji wa ndani cha mteja wa VPN kinaweza kukataza kwa makusudi trafiki kuelekea safu za kibinafsi, na njia haibatilishi kanuni hiyo. Kwenye mtandao usioaminika, anwani ya kibinafsi pia si uthibitisho kuwa lengo ni seva yako ya hifadhi, kwa hiyo kighairi kiwe mahususi kama njia yenyewe.

Mkataba unaoweza kuukabidhi

Muundo uliokamilika unapaswa kusomeka kama orodha fupi: trafiki ya jumla ya intaneti hufuata handaki, na viambishi hivi vya ndani vilivyotajwa huhifadhi njia yao kupitia router ya ndani. Andika viambishi, kituo kinachofuata na kiambishi cha DNS kinachoenda navyo, na uweke orodha fupi vya kutosha kwamba mtu aweze kuithibitisha bila kusoma jedwali la uelekezaji.

Angalia mwingiliano kati ya safu za ndani na za mbali. VLAN ya hifadhi inayoshiriki kiambishi na kitu kilicho nyuma ya VPN itatatuliwa kwa njia iliyo mahususi zaidi, na tabia inayotokana huchanganya kwa namna inayoonekana kama vipindi. Kuhesabu upya upande mmoja kwa kawaida ni nafuu kuliko kutafuta hitilafu ya utata huo milele.

Jaribu mkataba mara mbili: mara moja handaki ikiwa juu na mara moja ikiwa chini. Ikiwa njia ya ndani inafanya kazi katika moja ya hali hizo tu, kighairi bado si mkataba.