Tam tünel VPN yönlendirilmiş yerel VLAN'larınızı neden gizler

Bir VPN istemcisindeki “yerel ağa izin ver” anahtarı binadaki her şeyi kapsıyormuş gibi görünür. Pratikte genellikle tünelin varsayılan rotasına birkaç özel adres istisnası ekler ve orada durur. Depolama VLAN'ınız hâlâ yalnızca şu durumda erişilebilir: o belirli önek için bir rota tünelin gelişine dayanırsa ve birçok istemcide dayanmaz.

Bu bir VPN ayarı değil yönlendirme sorusudur, ki bu iyi haber: somut bir cevabı var.

Yerel ağa izin ver seçeneği gerçekte neyi kapsar

İstemciler bu seçeneği farklı biçimlerde uygular. Bazıları makinenin bağlı olduğu alt ağ için rotalar ekler, bazıları RFC 1918 aralıklarını ekler, çok azı ise yalnızca varsayılan ağ geçidini hariç tutar. Hiçbiri ofis yönlendiricinizin aynı zamanda bir depolama VLAN'ı, bir laboratuvar segmenti veya bir yazıcı alt ağı sunduğunu bilmez, çünkü bu önekler istemcinin görebildiği bağlantıda değildir. Etiketin topolojinizi tanımladığını varsaymak yerine tam davranış için istemcinin kendi belgelerini okuyun.

Bu ayrım en çok tam tünel tasarımında önemlidir; istemci tüm trafiğin VPN'den geçmesi için varsayılan rotayı bilerek değiştirir. Asıl amaç budur ve yerel yönlendirilmiş ağları ortadan kaldıran da budur. Hiçbir zaman kendi rotalarıyla kapsanmadılar; az önce değiştirilen varsayılan rotaya bindiler. Bir istemci var olduğunu bilmediği şeyi yönlendiremez ve yalnızca kendi arayüzüne bağlı önekleri öğrenir. Geri kalan her şeyi topolojiyi bilen birinin tanımlaması gerekir.

Bağlı rotalar ilk yönlendiricide durur

192.168.10.20/24 adresindeki bir iş istasyonu, 192.168.10.1 ağ geçidiyle birlikte 192.168.10.0/24 için otomatik olarak bağlı bir rota alır. 192.168.20.0/24 adresindeki depolama VLAN'ı farklı bir önektir, yalnızca o ağ geçidi üzerinden erişilebilir ve iş istasyonunun varsayılan dışında ona rotası yoktur. Tünel açılmadan önce sıradan varsayılan rota depolama trafiğini 192.168.10.1'e gönderir ve her şey çalışır.

VPN tam tünel varsayılanını kurduğunda, 192.168.20.1 için paketler yeni varsayılanı izleyerek tünele girer. Uzak ağ geçidinin o önekin nerede yaşadığına dair hiçbir fikri yoktur, bu yüzden onları düşürür veya işe yaramaz bir yere iletir. Depolama VLAN'ında hiçbir şey yanlış yapılandırılmamıştı; yolu ödünç alınmıştı ve borç geri istendi.

Cazibe, /1 rota çifti veya ikinci bir varsayılan gibi geniş bir istisnaya uzanmaktır. Karşı koyun. İstisna ne kadar darsa, ağ değiştiğinde açıklamak, denetlemek ve kaldırmak o kadar kolaydır.

İstisnayı kazanan tabloya koyun

Tek bir yönlendirme tablosunda /24, en uzun önek eşleşmesiyle /0 veya /1'i yener, bu yüzden yerel ağ geçidi üzerinden depolama VLAN'ına özel bir rota yeterlidir, yeter ki tabloya hiç danışılsın. Linux'ta olağan biçim kısadır:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

İlke yönlendirmesi bu garantiyi karmaşıklaştırır. Daha önceki bir kural trafiği, kendi varsayılan rotası tünele işaret eden bir tabloya gönderebilir ve sizin /24'ünüzü tutan ana tabloya asla ulaşılmaz. Rotanın yetkili olduğunu varsaymadan önce kuralları denetleyin, çünkü yanlış tablodaki doğru görünen bir kayıt, bozuk rota gibi görünen bir arızayı açıklar.

Sonra kaydı istemcinin desteklediği mekanizma veya arayüzün sahibi olan ağ yöneticisi aracılığıyla kalıcı yapın. İstem satırına yazılan bir rota bir sonraki yeniden bağlanmada kaybolur ve tek bir Wi-Fi ağ geçidine bağlı rota dizüstü bilgisayarın ziyaret ettiği sonraki ağa taşınamaz.

Adlar ve ilke rotaları izlemez

Rotayı düzeltmek paketleri geri getirir, adları değil. Yerel aygıtlar, onlar hakkında hiçbir şey bilmeyen itilen bir çözümleyici üzerinden çözülürse, adres erişilebilir olsa bile bağlama yine başarısız olur. Yerel adlar yerel veya bölünmüş bir DNS düzeni gerektirir ve bu, rota istisnasından ayrı bir karardır.

İlke yine ayrıdır. Bir VPN istemcisinin yerel erişim filtresi özel aralıklara trafiği bilerek yasaklayabilir ve bir rota bu kuralı geçersiz kılmaz. Güvenilmeyen bir ağda özel bir adres de hedefin depolama sunucunuz olduğunun kanıtı değildir, bu yüzden istisna rotanın kendisi kadar özel olmalıdır.

Devredebileceğiniz bir sözleşme

Bitmiş tasarım kısa bir liste olarak okunmalıdır: genel internet trafiği tüneli izler ve bu adlandırılmış yerel önekler yerel yönlendirici üzerinden yollarını korur. Önekleri, sonraki atlama noktasını ve onlarla gelen DNS sonekini yazın ve listeyi birinin yönlendirme tablosunu okumadan doğrulayabileceği kadar kısa tutun.

Yerel ve uzak aralıklar arasındaki çakışmaya dikkat edin. VPN'in arkasındaki bir şeyle önek paylaşan bir depolama VLAN'ı, hangi rota daha özel ise ona çözülür ve ortaya çıkan davranış aralıklıymış gibi görünen bir kafa karışıklığıdır. Bir tarafı yeniden numaralandırmak, bu belirsizliği sonsuza dek ayıklamaktan genellikle daha ucuzdur.

Sözleşmeyi iki kez test edin: bir kez tünel açıkken, bir kez kapalıyken. Yerel yol bu durumlardan yalnızca birinde çalışıyorsa, istisna henüz bir sözleşme değildir.