O L2TP adresi IPCP’dir, LAN’deki bir DHCP kiralaması değil

Bağlantı açılır ve bağdaştırıcı ofis aralığında bir adres gösterir, bu yüzden doğal sonuç VPN’in size bir LAN adresi verdiği ve böylece sizi LAN’e yerleştirdiğidir. Bunun iki yarısı da tam olarak doğru değil. L2TP bir PPP oturumu taşır ve PPP iç IPv4 adresini IPCP ile görüşür. Bu adres iki taraf arasında kararlaştırılan bir oturum parametresidir, ofisin DHCP sunucusunun verdiği bir kiralama değildir ve ona sahip olmak sizi ofis kablosunda komşu yapmaz.

Tek bağlantıda iki adres

Bir L2TP bağlantısında iki bağımsız görüşme vardır. Dıştaki, cihazınızla VPN uç noktası arasında hâlihazırda sahip olduğunuz ağ üzerinden korumalı bir yol kurar. İçteki PPP oturumudur ve oturum adresiniz ile karşı tarafın adresi orada kararlaştırılır. İnternet trafiği tamamen üçüncü bir adresin, uç noktanın genel adresinin altında çıkabilir, bu yüzden bir VPN kontrol sayfası ile bağdaştırıcı adresi nadiren örtüşür.

Bu üç rolü ayrı tutmak, insanların bu katmana getirdiği soruların çoğunu yanıtlar. VPN arayüzündeki özel bir numara normal ve beklenen bir durumdur. Uç noktanın genel çıkışınızı değiştirip değiştirmediği hakkında hiçbir şey söylemez ve trafiğinizin hangi hedeflere ulaştığını tek başına belirlemez.

IPCP tam olarak ne yapar

IPCP, PPP için IPv4 denetim protokolüdür. Her taraf istediği seçenekleri tanımlayan Configure-Request mesajları gönderir ve adres seçeneği bunlardan biridir. Henüz adresi olmayan bir istemci genellikle 0.0.0.0 ile sorar, sunucu ise istemcinin kullanmasını istediği adresi taşıyan bir Configure-Nak ile yanıt verir. Ardından istemci o adresi ister ve oturum yerel ve uzak adresle açılır.

Bu değiş tokuş PPP ve IPCP belirtimlerinde belgelenmiştir ve hata gibi görünen bir ayrıntıyı açıklar: adresi sunucu kendi politikasına göre seçer; bu bir havuz, kullanıcı başına ayar veya kimliği doğrulanmış kimliğe bağlı bir adres olabilir. Havuz tükendiğinde veya politika istekle çeliştiğinde, kimlik doğrulama başarılı olabilirken adres görüşmesi başarısız olur ve istemci hiçbir zaman oturmayan bir bağlantı bildirir.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

pppd günlüğünde yerel ve uzak adresi belirten satır, o görüşmenin başarılı sonudur. Başarılı bir kimlik doğrulamanın yanında bunun bulunmaması, kimlik bilgilerine değil adres aşamasına işaret eder.

LAN size neden yanıt veremez

Karşı tarafın aralığından gelen bir adres, o LAN’deki makinelerin size ulaşabileceği beklentisini yaratır ve çoğu zaman ulaşamazlar; sunucu oturum adresinizi tünele geri yönlendirmedikçe. Bir havuzun içinde olmak tahsisle ilgili bir ifadedir, topolojiyle ilgili değil. Ofisin dosya sunucusunun oturum adresinize rotası yoktur, VPN sunucusu onu iletmedikçe ve iletiyorsa bile buna izin verilmemiş olabilir.

Bu yüzden çakışan aralıklar görünen boyutlarıyla orantısız sorunlara yol açar. Havuz, istemcinin zaten kullandığı bir LAN ile çakışırsa istemcinin yönlendirme tablosunda artık aynı önek üzerinde iki talep olur ve yanlış olan, tünelle hiç ilgisi olmayan nedenlerle sık sık kazanır.

Önce oturumu, sonra rotayı doğrulayın

Önce arayüzü, sonra rotaları, sonra önemli olan tek bir hedefi kontrol edin. Her adımın kendi hata biçimi vardır ve üçünü birden test etmek sonradan savunamayacağınız bir sonuç verir.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Genel kontrol uç noktanın adresini gösterirken özel bir hedef zaman aşımına uğrarsa, tünel varsayılan rotanızı taşıyordur ve karşı taraf o hedef için yanıt vermiyordur. Özel hedef yanıt veriyor ama genel kontrol değişmiyorsa, profil bölünmüş tünel kullanıyordur ve trafiğin yalnızca bir kısmı oturumu kullanır.

Üç aşamayı ayrı tutun

Kimlik doğrulama, adres görüşmesi ve iletme farklı biçimlerde başarısız olur, ve her birinin sorumlusu farklıdır. Kimlik bilgileri bir kimlik sorunudur, IPCP tükenmesi bir sunucu politikası sorunudur ve eksik dönüş rotası bir ağ tasarımı sorunudur. Üçünü de “VPN bozuk” diye bildirmek yavaş bir düzeltmeyi garanti eder.

Atanan adresi, hangi havuzdan geldiğini ve LAN’in ona ulaşması gerekip gerekmediğini not edin. Bu tek not, bir sonraki kişinin DHCP kiralaması varsayıp hiç dahil olmamış bir kapsam aramasını önler.