Hati-hating ruta ng L2TP sa Mac: bakit hindi gumagana ang address ng host

Kumokonekta ang VPN, ipinapakita ito ng menu bar, at nag-time out pa rin ang isang internal na host. Sa ganoong sitwasyon may tatlong posibleng dahilan, at kung alin ang naaangkop ay depende sa kung paano na-configure ang tunnel. Maaaring gumamit ang utos ng ruta ng address ng host kung saan kailangan ang address ng network, o ang profile mismo ang naglalagay ng default na ruta na lumalamon sa desisyon, o ang kliyente ay PPP tunnel na nangangailangan ng hook sa halip na susi ng profile. Suriin ang mga ito sa ganoong pagkakasunod-sunod, dahil ang una ang pinakamurang alisin.

Ang patutunguhan ay address ng network, inilalarawan ng mask ang prefix

networksetup -setadditionalroutes ay tumatanggap ng triple ng patutunguhan, subnet mask at gateway. Ganito ang hitsura ng tawag na nagpapadala ng isang internal na subnet sa tunnel:

sudo networksetup -setadditionalroutes "VPN (L2TP)" 192.168.1.0 255.255.255.0 10.2.0.0

Pansinin kung ano ang patutunguhan: ang address ng network, hindi ang address ng server na sinusubukan mong maabot. Sa kasong nagbunga ng artikulong ito, walang nagawang kapaki-pakinabang ang kaparehong utos na may 192.168.1.20 sa posisyong iyon, at agad na gumana ang pagpapalit nito ng 192.168.1.0. Parehong mask, parehong gateway, isang naiibang numero. Iyon ang buong kabiguan sa maliit na anyo.

Ang dahilan ay aritmetika, hindi patakaran. Ang address ng host na ikinabit sa /24 na mask ay hindi naglalarawan ng 192.168.1.0/24; naglalarawan ito ng bagay na hindi kayang hawakan ng routing table nang kapaki-pakinabang, kaya tinatanggihan o binabalewala ang entry at kalaunan ay mas kaunti ang dinadala ng tunnel kaysa sa nilalayon mo.

Kapag gusto mo ng eksaktong isang host, gamitin ang address ng host na may mask na 255.255.255.255. Ang magkahalong pares ang kung saan ito nagkakamali, hindi ang paggamit ng address ng host mismo. Ang /32 na binuo mula sa isang address ay lehitimong ruta; ang /24 na binuo mula sa isang address ay pagkakamali.

Pinapalitan ng tawag ang listahan, at ang pangalan ay literal

Dalawang pag-uugali ang nagulat sa mga tao sa unang pagsubok. Itinatakda ng utos ang buong listahan ng karagdagang ruta sa halip na magdagdag, kaya ang tawag na nagdadagdag ng isang prefix ay tahimik na nag-aalis ng iba pang naroon bago. Buuin ang buong set sa isang tawag.

Ang pangalan ng serbisyo ay hindi rin ang label na inimbento mo. Basahin ito mula sa tool at kopyahin nang eksakto, kasama ang suffix ng uri:

networksetup -listallnetworkservices

Ang pangalang naiiba ng isang karakter ay walang ibinibigay na error na worth basahin at walang ruta. Ang kopya at paste ang tamang pamamaraan dito, hindi ang muling pag-type mula sa memorya.

Kapag inangkin ng profile ang default na ruta

Ang hati-hating ruta ay natatalo sa default na ruta para sa anumang patutunguhang hindi nila tahasang sinasaklaw, at ang L2TP profile na naka-configure para sa buong tunnel ay naglalagay ng eksaktong iyon. Kung sinasabi ng profile na lahat ay dumadaan sa tunnel, kaunti lang ang nababago sa listahan ng karagdagang ruta. Hindi mali ang entry mo; wala lang itong kaugnayan sa mga patutunguhang hindi nito binabanggit. Ang kontrol dito ay karaniwang nasa setting ng profile na ipadala ang lahat ng trapiko, hindi sa anumang utos ng ruta.

Magpasya kung aling modelo ang talagang gusto mo bago mag-edit ng mas maraming entry. Ang buong tunnel na may mga eksepsiyon ay ibang configuration kaysa sa hati-hating tunnel na may partikular na prefix, at ang paghahalo ng dalawa ay gumagawa ng talahanayang walang makapaghuhula.

Kung kailangan ng organisasyon ang buong tunnel, itigil ang pagsubok na hatiin ito nang lokal at dalhin ang pangangailangan sa nagmamay-ari ng patakaran. Ang rutang idinagdag nang lokal na sumasalungat dito ay matatanggal pa rin sa susunod na update ng profile.

Ang mga PPP tunnel ay nangangailangan ng hook sa halip na susi

Para sa mga tunnel na nakabatay sa PPP, ang defaultroute ang susi ng profile na gumagawa ng default na ruta; alisin ito at titigil ang kliyente sa pag-angkin sa bawat patutunguhan. Pagkatapos ay idinadagdag ang mga ruta kapag lumitaw ang interface, karaniwang mula sa /etc/ppp/ip-up:

#!/bin/sh
/sbin/route add -net 192.168.1.0 -interface ppp0

Panatilihing pag-aari ng root at executable ang script, at magdagdag ng guard sa pangalan ng interface kapag may higit sa isang tunnel profile sa machine. Ang hook na tumatakbo para sa bawat PPP link at nagpapalagay ng isang pangalan ng device ay maliit na bug na may mahabang buhay.

I-verify ang paghahati gamit ang tatlong kahilingan

Kunin ang talahanayan habang nakakonekta at tandaan kung aling interface ang naglilingkod sa tunnel. Pagkatapos ay suriin ang partikular na patutunguhan sa halip na magtiwala sa exit status ng utos na gumawa nito. Ang exit code ay nag-uulat kung tinanggap ng tool ang mga argumento, hindi kung tinatahak ng trapiko ang nilalayon na landas.

Tapusin gamit ang tatlong kahilingang nagpapatunay ng paghahati: isang internal na host ayon sa address, isang internal na pangalan sa pamamagitan ng internal resolver, at isang pampublikong site na dapat pa ring gumamit ng lokal na koneksyon. Kung ang pampublikong site ay dumadaan na rin sa tunnel, hindi kailanman nangyari ang paghahati, anuman ang sinasabi ng listahan ng ruta.

Kumonekta muli at ulitin ang internal na kahilingan, dahil ang mga rutang idinagdag sa kamay ay maaaring mabuhay nang mas matagal kaysa sa interface na nagpawalang-bisa sa kanila at tahimik na ginagawang itim na butas ang trapiko pagkatapos bumagsak ang tunnel.