อุปกรณ์ในเครือข่ายท้องถิ่นหายไปเมื่อใช้ VPN: ความล้มเหลวสามแยกส่วน

เครื่องพิมพ์ที่หายไปจากรายการอุปกรณ์เมื่อ VPN เริ่มทำงานอาจยังตอบสนองที่ที่อยู่ของมันได้ รายการถูกเติมด้วยการค้นพบ ชื่ออาจมาจากตัวแปลงชื่อ และตัวบริการเองก็เข้าถึงผ่านซ็อกเก็ต และทั้งสามอย่างอาจล้มเหลวแยกจากกัน การเปรียบเทียบว่าอะไรทำงานในแต่ละชั้นจะบอกว่าควรเปลี่ยนคุณสมบัติใด การเปิดข้อยกเว้นการเข้าถึงภายในทั้งหมดก่อนจะลบหลักฐาน

นั่นคือความแตกต่างระหว่างอุปกรณ์ที่หายไปกับอุปกรณ์ที่เพียงแต่ไม่ประกาศตัว

การค้นพบ ชื่อ และการเข้าถึงเป็นสามชั้น

โปรโตคอลการค้นพบอาศัย multicast หรือ broadcast และสิ่งเหล่านี้ไม่ข้ามอุโมงค์ที่กำหนดเส้นทางโดยค่าเริ่มต้น นี่คือเหตุผลที่อุปกรณ์อาจหายไปจากรายการในขณะที่ยังเข้าถึงได้สมบูรณ์ การแปลงชื่อเป็นชั้นที่สอง: VPN อาจเปลี่ยนตัวแปลงชื่อ และชื่อที่เครือข่ายท้องถิ่นเคยตอบก่อนหน้านี้อาจถูกแปลงที่อื่นหรือไม่ถูกแปลงเลย การเข้าถึงเป็นชั้นที่สาม: เส้นทาง กฎไฟร์วอลล์ และบริการที่รอรับ แต่ละชั้นพังได้ในขณะที่อีกสองชั้นปกติ

ทดสอบจากล่างขึ้นบน การตรวจสอบการเข้าถึงเพียงครั้งเดียวทำให้เห็นการแบ่งชัดเจน: nc -vz 192.168.1.20 443 หรือสำเร็จ หมายถึงเส้นทางและบริการปกติและชื่อคือผู้ต้องสงสัย หรือล้มเหลว ซึ่งย้ายคำถามไปที่การกำหนดเส้นทางและนโยบาย จากนั้นถามชื่อ ความล้มเหลวแรกที่พบคือชั้นที่ต้องทำงาน และชั้นที่สูงกว่าชดเชยให้ไม่ได้

ถามที่อยู่ก่อน แล้วจึงถามชื่อโฮสต์

ถ้าที่อยู่ตอบแต่ชื่อไม่ตอบ ปัญหาคือการแปลงชื่อไม่ใช่การกำหนดเส้นทาง ไคลเอนต์ VPN ที่ติดตั้งตัวแปลงชื่อของตัวเองสามารถเปลี่ยนว่าเซิร์ฟเวอร์ใดตอบชื่อท้องถิ่น และไคลเอนต์ที่ไม่ส่งโดเมนท้องถิ่นต่อไปจะทำให้ชื่อไม่ได้รับคำตอบ ถ้าที่อยู่ล้มเหลวด้วย ปัญหาคือเส้นทาง: เส้นทางเริ่มต้นผ่านอุโมงค์ การบล็อกทราฟฟิกท้องถิ่นฝั่งไคลเอนต์ หรือกฎไฟร์วอลล์ที่อนุญาตเฉพาะอินเทอร์เฟซกายภาพ

ถ้าทั้งสองทำงานแต่การค้นพบอัตโนมัติไม่ทำงาน อุปกรณ์เพียงไม่ได้ประกาศตัวผ่านอุโมงค์ นี่คือพฤติกรรมที่คาดหมายสำหรับการค้นพบที่อิง multicast ไม่ใช่ความล้มเหลวของการตั้งค่า การเพิ่มอุปกรณ์ด้วยที่อยู่มักเป็นวิธีแก้ที่ซื่อตรง

สวิตช์การเข้าถึงภายในเปลี่ยนอะไรจริง ๆ

การตั้งค่าการเข้าถึงเครือข่ายท้องถิ่นมักอนุญาตให้ทราฟฟิกไปยังซับเน็ตที่เชื่อมต่อโดยตรงข้ามอุโมงค์ไป และมันทำสิ่งต่างกันในไคลเอนต์ต่างกัน มันไม่ได้ตั้งค่าการส่งต่อไปยังสำนักงานระยะไกล และไม่ได้เปลี่ยนไฟร์วอลล์ของโฮสต์หรือสิทธิ์ของแอปเอง มันไม่ได้ทำให้ซับเน็ตที่ทับซ้อนกันชัดเจนขึ้นด้วย อ่านเอกสารของไคลเอนต์ว่าการตั้งค่าครอบคลุมอะไรก่อนเปิดใช้อย่างกว้างขวาง

ข้อยกเว้นแคบ ๆ สำหรับอุปกรณ์ที่ไว้ใจได้หนึ่งเครื่องดีกว่าการอนุญาตแบบเหมา โดยเฉพาะบนเครือข่ายแขกที่การบล็อกอาจเป็นเจตนา ที่อยู่ส่วนตัวไม่ใช่การตรวจสอบตัวตน ดังนั้นการเลือกจึงขึ้นกับเครือข่ายที่คุณอยู่

เมื่อเครือข่ายทับซ้อนกัน

ถ้าเครือข่ายที่บ้านและเครือข่ายระยะไกลใช้ช่วงเดียวกัน การกำหนดเส้นทางจะกำกวม และทั้งสวิตช์การเข้าถึงภายในและข้อยกเว้นก็แก้ไม่ได้ บริการสองตัวที่ที่อยู่เดียวกันเข้าถึงทั้งคู่ไม่ได้ และตัวใดจะชนะขึ้นกับความเฉพาะเจาะจงของเส้นทางและลำดับ ไม่ใช่เจตนา ทางแก้คือการวางแผนที่อยู่ ไม่ใช่การตั้งค่าไคลเอนต์ ตรวจสอบช่วงก่อนใช้เวลาทั้งเย็นกับเครื่องพิมพ์

สำหรับอุปกรณ์ที่อยู่หลังเกตเวย์ระยะไกล ผู้ให้บริการเป็นเจ้าของการส่งต่อ นโยบายโฮสต์ และเส้นทางขากลับ กล่องกาเครื่องหมายภายในไคลเอนต์ให้สิ่งเหล่านี้ไม่ได้เลย และการขอความช่วยเหลือจากผู้ให้บริการมีประสิทธิผลกว่าการทดลองกับสวิตช์

บันทึกว่าชั้นใดล้มเหลวและคุณเปลี่ยนอะไร อุปกรณ์ถัดไปจะล้มเหลวที่หนึ่งในสามจุดเดิม