ทำไม VPN แบบอุโมงค์เต็มจึงซ่อน VLAN ท้องถิ่นที่กำหนดเส้นทางของคุณ

สวิตช์ “อนุญาตเครือข่ายท้องถิ่น” ในไคลเอนต์ VPN ฟังดูเหมือนครอบคลุมทุกอย่างในอาคาร ในทางปฏิบัติมักเพิ่มข้อยกเว้นสำหรับที่อยู่ส่วนตัวเพียงไม่กี่รายการในเส้นทางเริ่มต้นของอุโมงค์แล้วหยุดอยู่แค่นั้น VLAN สตอเรจของคุณยังเข้าถึงได้ก็ต่อเมื่อ เส้นทางสำหรับคำนำหน้านั้นโดยเฉพาะอยู่รอดหลังอุโมงค์เชื่อมต่อขึ้นมา และในไคลเอนต์จำนวนมากมันไม่รอด

นี่เป็นคำถามเรื่องการกำหนดเส้นทาง ไม่ใช่การตั้งค่า VPN ซึ่งเป็นข่าวดี เพราะมันมีคำตอบที่ชัดเจน

สิ่งที่การอนุญาตเครือข่ายท้องถิ่นครอบคลุมจริง ๆ

ไคลเอนต์แต่ละตัวใช้ตัวเลือกนี้ต่างกัน บางตัวเพิ่มเส้นทางสำหรับซับเน็ตที่เครื่องเชื่อมต่ออยู่ บางตัวเพิ่มช่วง RFC 1918 และบางตัวเพียงตัดเกตเวย์เริ่มต้นออก ไม่มีตัวใดรู้ว่าเราเตอร์สำนักงานของคุณให้บริการ VLAN สตอเรจ ส่วนของแล็บ หรือซับเน็ตเครื่องพิมพ์ด้วย เพราะคำนำหน้าเหล่านั้นไม่ได้อยู่บนลิงก์ที่ไคลเอนต์มองเห็น จงอ่านเอกสารของไคลเอนต์เองเพื่อดูพฤติกรรมที่แน่นอน แทนที่จะสรุปว่าป้ายกำกับอธิบายโทโพโลยีของคุณ

ความแตกต่างนี้สำคัญที่สุดในการออกแบบอุโมงค์เต็มรูปแบบ ซึ่งไคลเอนต์ตั้งใจแทนที่เส้นทางเริ่มต้นเพื่อให้ทราฟฟิกทั้งหมดผ่าน VPN นั่นคือจุดหมายทั้งหมดของการออกแบบ และนั่นคือสิ่งที่ทำให้เครือข่ายท้องถิ่นที่กำหนดเส้นทางหายไป พวกมันไม่เคยถูกครอบคลุมด้วยเส้นทางของตัวเองเลย พวกมันโดยสารไปกับเส้นทางเริ่มต้นที่เพิ่งถูกแทนที่ ไคลเอนต์ไม่สามารถกำหนดเส้นทางสิ่งที่มันไม่รู้ว่ามีอยู่ และมันเรียนรู้เฉพาะคำนำหน้าที่ผูกกับอินเทอร์เฟซของตัวเองเท่านั้น ทุกอย่างอื่นต้องมีคนที่รู้โทโพโลยีอธิบาย

เส้นทางที่เชื่อมต่อหยุดที่เราเตอร์ตัวแรก

เวิร์กสเตชันที่ 192.168.10.20/24 พร้อมเกตเวย์ 192.168.10.1 จะได้เส้นทางที่เชื่อมต่อสำหรับ 192.168.10.0/24 โดยอัตโนมัติ VLAN สตอเรจที่ 192.168.20.0/24 เป็นคำนำหน้าอีกชุด เข้าถึงได้ผ่านเกตเวย์นั้นเท่านั้น และเวิร์กสเตชันไม่มีเส้นทางสำหรับมันนอกจากเส้นทางเริ่มต้น ก่อนที่อุโมงค์จะขึ้น เส้นทางเริ่มต้นปกติบังเอิญส่งทราฟฟิกสตอเรจไปที่ 192.168.10.1 และทุกอย่างทำงาน

เมื่อ VPN ติดตั้งเส้นทางเริ่มต้นแบบอุโมงค์เต็ม แพ็กเก็ตสำหรับ 192.168.20.1 จะตามเส้นทางเริ่มต้นใหม่เข้าไปในอุโมงค์ เกตเวย์ปลายทางไม่รู้เลยว่าคำนำหน้านั้นอยู่ที่ไหน จึงทิ้งไปหรือส่งต่อไปยังที่ที่ไม่เกิดประโยชน์ ไม่มีอะไรตั้งค่าผิดบน VLAN สตอเรจ เส้นทางของมันถูกยืมมา และการยืมนั้นถูกเรียกคืน

สิ่งล่อใจคือเอื้อมไปหาข้อยกเว้นกว้าง ๆ เช่นคู่เส้นทาง /1 หรือเส้นทางเริ่มต้นที่สอง จงต้านทานไว้ ยิ่งข้อยกเว้นแคบเท่าไร ก็ยิ่งอธิบาย ตรวจสอบ และถอนออกได้ง่ายขึ้นเมื่อเครือข่ายเปลี่ยน

ใส่ข้อยกเว้นไว้ในตารางที่ชนะ

ภายในตารางกำหนดเส้นทางเดียว /24 ชนะ /0 หรือ /1 ด้วยการจับคู่คำนำหน้ายาวที่สุด ดังนั้นเส้นทางเฉพาะไปยัง VLAN สตอเรจผ่านเกตเวย์ท้องถิ่นก็เพียงพอ ถ้าตารางนั้นถูกสอบถามเลย บน Linux รูปแบบปกติสั้นมาก:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

การกำหนดเส้นทางตามนโยบายทำให้การรับประกันนั้นซับซ้อนขึ้น กฎที่อยู่ก่อนหน้าอาจส่งทราฟฟิกไปยังตารางที่เส้นทางเริ่มต้นของตัวเองชี้เข้าไปในอุโมงค์ และตารางหลักที่ถือ /24 ของคุณก็จะไม่ถูกแตะต้องเลย จงตรวจกฎก่อนสันนิษฐานว่าเส้นทางนั้นใช้ได้ เพราะรายการที่ดูถูกต้องในตารางผิดอธิบายความล้มเหลวที่ดูเหมือนเส้นทางเสีย

จากนั้นทำให้รายการคงอยู่ถาวรผ่านกลไกที่ไคลเอนต์รองรับ หรือผ่านตัวจัดการเครือข่ายที่เป็นเจ้าของอินเทอร์เฟซ เส้นทางที่พิมพ์ที่พรอมป์จะหายไปเมื่อเชื่อมต่อใหม่ครั้งถัดไป และเส้นทางที่ผูกกับเกตเวย์ Wi-Fi ตัวเดียวไม่สามารถพกพาไปยังเครือข่ายถัดไปที่แล็ปท็อปไปเยือน

ชื่อและนโยบายไม่ตามเส้นทาง

การแก้เส้นทางคืนแพ็กเก็ต ไม่ใช่ชื่อ หากอุปกรณ์ท้องถิ่นถูกแปลงผ่านรีโซลเวอร์ที่ถูกส่งมาซึ่งไม่รู้อะไรเกี่ยวกับมันเลย การเมานต์ก็ยังล้มเหลวแม้ที่อยู่จะเข้าถึงได้ ชื่อท้องถิ่นต้องมีการจัดวาง DNS แบบท้องถิ่นหรือแบบแยก และนั่นเป็นการตัดสินใจแยกจากข้อยกเว้นเส้นทาง

นโยบายแยกอีกเช่นกัน ตัวกรองการเข้าถึงท้องถิ่นของไคลเอนต์ VPN สามารถห้ามทราฟฟิกไปยังช่วงที่อยู่ส่วนตัวโดยเจตนา และเส้นทางไม่ได้ลบล้างกฎนั้น บนเครือข่ายที่ไม่น่าไว้วางใจ ที่อยู่ส่วนตัวก็ไม่ใช่หลักฐานว่าปลายทางคือเซิร์ฟเวอร์สตอเรจของคุณ ดังนั้นข้อยกเว้นจึงควรเฉพาะเจาะจงเท่ากับเส้นทางเอง

สัญญาที่คุณส่งต่อได้

การออกแบบที่เสร็จแล้วควรอ่านเป็นรายการสั้น ๆ ทราฟฟิกอินเทอร์เน็ตทั่วไปตามอุโมงค์ และคำนำหน้าท้องถิ่นที่มีชื่อเหล่านี้คงเส้นทางผ่านเราเตอร์ท้องถิ่นไว้ จดคำนำหน้า ฮอปถัดไป และคำต่อท้าย DNS ที่มาด้วย และเก็บรายการให้สั้นพอที่ใครสักคนจะตรวจสอบได้โดยไม่ต้องอ่านตารางกำหนดเส้นทาง

ระวังการทับซ้อนระหว่างช่วงท้องถิ่นและช่วงระยะไกล VLAN สตอเรจที่ใช้คำนำหน้าร่วมกับบางสิ่งหลัง VPN จะถูกแปลงไปยังเส้นทางที่เฉพาะเจาะจงกว่า และพฤติกรรมที่ได้ก็ชวนสับสนในแบบที่ดูเหมือนเป็นครั้งคราว การเปลี่ยนเลขฝั่งหนึ่งมักถูกกว่าการดีบักความกำกวมนั้นตลอดไป

ทดสอบสัญญาสองครั้ง ครั้งหนึ่งเมื่ออุโมงค์ขึ้น และอีกครั้งเมื่ออุโมงค์ลง หากเส้นทางท้องถิ่นทำงานเพียงสถานะเดียวในสองสถานะนั้น ข้อยกเว้นยังไม่ใช่สัญญา