VPN bağdaştırıcısı /32 gösterir: bu tek hedef anlamına gelmez

Bağdaştırıcılar 255.255.255.255 gösterir ve çoğu zaman VPN'in tam olarak tek bir adrese ulaştığı sonucuna varılır. Bu okuma, istemcinin kendi adresini tünel üzerinden yönlendirilen hedefler kümesiyle karıştırır. Noktadan noktaya veya yönlendirilmiş bir arayüzde bunlar iki farklı nesnedir ve erişilebilirliği yalnızca biri sınırlar. Efsane sürüyor çünkü maske, insanların Ethernet'te öğrendiği alt ağ maskesine benziyor.

Efsane: ana bilgisayar maskesi tek erişilebilir ana bilgisayar demektir

/32 ataması arayüze bu bağlantının bu ucunun hangi adrese ait olduğunu söyler ve noktadan noktaya bir bağlantıda anlamı bundan ibarettir. Eşin adresi ayrı bir alandır ve eşin ötesinde ne olduğunu söyleyen yollar yine ayrıdır. Maskede hiçbir şey uzak ağı tanımlamaz, çünkü maske uzak ağların tanımlandığı yer değildir. Onu erişilebilirlik sınırı olarak okumak, kendi ev numaranızı ziyaret etmenize izin verilen tüm adreslerin listesi olarak okumak gibidir.

Karışıklığın gerçek bir kökü var: Ethernet'te ana bilgisayar maskesi gerçekten o segmentte tek bir adres anlamına gelirdi. Tünel bir Ethernet segmenti değildir ve içinden ne geçtiğine maskeyi değil, istemcinin yönlendirme tablosu karar verir. Bu yüzden aynı /32 koca bir veri merkezinin önünde durabilir.

Adresi ve yolları ayrı nesneler olarak okuyun

Arayüzü ve tabloyu birlikte yazdırın, sonra bunları iki soruya iki cevap olarak okuyun. Adres bu ucun kim olduğunu yanıtlar; yollar trafiğin nereye gidebileceğini yanıtlar. Üçüncü soru, ağ geçidinin hangi hedeflere izin verdiği, istemcide hiç görünmez. iproute2 adres başvurusu yerel adres, eş ve önek yolu alanlarını tam da bu nedenle ayrı ayrı tanımlar.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windows'ta adres listesi ile yönlendirme tablosu arasında aynı ayrım vardır ve arama komutu belirli bir hedef için hangisinin kazandığını görmenin en hızlı yoludur. Arama tünel arayüzünü döndürürse istemci paketi oraya gönderir. Fiziksel bağdaştırıcıyı döndürürse istemci VPN'e hiç sormaz ve sunucu tarafındaki hiçbir izin bunu değiştirmez. Gerçekten ihtiyaç duyduğunuz hedefi denetleyin, sıradan bir genel adresi değil.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Arama yanlış arayüzü gösteriyorsa durun. Bu istemcinin yönlendirme sorunudur ve istemcide düzeltilir.

Maskeyi genişletmek neden genellikle durumu kötüleştirir

Atamayı ofis LAN'ı gibi görünmesi için /24'e değiştirmek bağlantıda bir önek oluşturabilir: çekirdek artık /24'ün tamamının doğrudan tünel arayüzüne bağlı olduğuna inanır. Ağ geçidinden yönlendirilmesi gereken adreslere giden trafik o zaman bağlantıda bir komşu varmış gibi gönderilir. Sonuç, sunucu arızasına benzeyen bir kara deliktir.

Ayrıca gerçek sorunu, yani eksik bir yolu veya ağ geçidinde eksik bir izni gizler. İkisini de daha geniş bir maske oluşturmaz ve ikisi de değişiklikten sonra kalır. Tasarım arayüzde daha büyük bir önek gerektiriyorsa bu, kullanılan arayüz modeli için verilen ve belgeler elle tutularak alınan bir karardır. Bir maskeyi başka bir ürünün ekran görüntülerinden kopyalamak o karar değildir.

Uzak önek yolu eksikse sağlanmasını düzeltin. Yol varsa ve bağlantı yine reddediliyorsa maske hiçbir zaman tanı olmamıştır.

Yol doğruyken akış yine başarısız olduğunda

Doğru bir yol yalnızca istemcinin paketi göndereceğini kanıtlar. Ağ geçidi hedefi hâlâ kabul etmeli, atanan adres için dönüş yolu var olmalı ve hizmet akışa izin vermelidir. Bu üçünü ayrı ayrı sınayın: istemcideki arama, ağ geçidinin izin verdiği kapsam ve gerekli bir sunucuya istek. Üçü de yerinde olmadan kimlik doğrulamanın başarılı olması normaldir ve bu yüzden bağlı bir istemci yine hiçbir yere ulaşamayabilir.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Ağ nesnelerini ve grup izinlerini bir cihaz tarafından yönetilen hizmette sahipleriyle birlikte tutun. İstemciye nereye ulaşması söylendiği ile neyi kullanmasına izin verildiği farklı ayarlardır, çoğu zaman farklı ekranlarda. Birini değiştirip diğerini sınamak, bir kaydın iki ekip arasında nasıl zıpladığıdır.

Emekliye ayrılması gereken efsane, maskenin bir erişilebilirlik sınırı olduğudur. Adresi, yolları ve ağ geçidi ilkesini üç ayrı olgu olarak okuyun; o zaman /32 bir kısıtlama gibi görünmeyi bırakır ve normal bir tünel ataması gibi görünmeye başlar.