Локальні пристрої зникають у VPN: три окремі поломки

Принтер, який зникає зі списку пристроїв під час увімкнення VPN, може все ще відповідати на своїй адресі. Список заповнюється виявленням, ім'я може надходити від резолвера, а до самої служби дістаються через сокет, і ці три можуть відмовити незалежно. Порівняння того, що працює на кожному рівні, показує, яку функцію змінювати. Якщо спершу ввімкнути всі винятки для локального доступу, докази зникнуть.

У цьому різниця між пристроєм, якого немає, і пристроєм, який просто не оголошує себе.

Виявлення, імена й доступність — це три рівні

Протоколи виявлення спираються на multicast або broadcast, а вони за замовчуванням не проходять через маршрутизований тунель, тому пристрій може зникнути зі списку, залишаючись цілком доступним. Розв'язання імен — другий рівень: VPN може змінити резолвер, і ім'я, на яке раніше відповідала локальна мережа, тепер може розв'язуватися в іншому місці або взагалі не розв'язуватися. Доступність — третій: маршрут, правило міжмережевого екрана й служба, що слухає. Кожен рівень може зламатися, поки два інші в порядку.

Перевіряйте їх знизу вгору. Одна перевірка доступності робить поділ очевидним: nc -vz 192.168.1.20 443 або успішний, що означає, що шлях і служба в порядку і підозрюваний — ім'я, або невдалий, що переносить питання на маршрутизацію та політику. Потім запитайте ім'я. Перша поломка, на яку ви натрапите, — це рівень, над яким треба працювати, і рівні вище не можуть її компенсувати.

Спершу запитайте адресу, потім ім'я хоста

Якщо адреса відповідає, а ім'я ні, проблема в розв'язанні, а не в маршрутизації. Клієнт VPN, який встановлює власний резолвер, може змінити, який сервер відповідає на локальні імена, а той, що не передає локальний домен, залишає ім'я без відповіді. Якщо й адреса не працює, проблема в шляху: маршрут за замовчуванням через тунель, блокування локального трафіку на боці клієнта або правило міжмережевого екрана, що дозволяє лише фізичний інтерфейс.

Якщо обидва працюють, а автоматичне виявлення ні, пристрій просто не оголошує себе через тунель. Це очікувана поведінка для виявлення на основі multicast, а не помилка конфігурації. Додати пристрій за адресою зазвичай і є чесне рішення.

Що насправді змінює перемикач локального доступу

Налаштування локального мережевого доступу зазвичай дозволяє трафіку до безпосередньо підключеної підмережі обходити тунель, і в різних клієнтах воно робить різне. Воно не налаштовує переспрямування до віддаленого офісу й не змінює міжмережевий екран хоста або власні дозволи застосунку. Воно також не робить підмережу, що перекривається, однозначною. Прочитайте документацію клієнта про те, що охоплює налаштування, перш ніж широко його вмикати.

Вузький виняток для одного довіреного пристрою кращий за загальний дозвіл, особливо в гостьовій мережі, де блокування може бути навмисним. Приватна адреса — не перевірка особи, тому вибір залежить від мережі, у якій ви перебуваєте.

Коли мережі перекриваються

Якщо домашня та віддалена мережі використовують той самий діапазон, маршрутизація стає неоднозначною, і ні перемикач локального доступу, ні виняток цього не вирішують. До двох служб на одній адресі не можна звернутися обома, і те, яка переможе, залежить від конкретності маршруту й порядку, а не від наміру. Рішення — планування адрес, а не налаштування клієнта. Перевірте діапазони, перш ніж провести вечір із принтером.

Для пристрою за віддаленим шлюзом переспрямування, політика хоста та зворотний маршрут належать операторові. Локальний прапорець у клієнті не може дати нічого з цього, і просити про це продуктивніше, ніж експериментувати з перемикачами.

Запишіть, який рівень зламався і що ви змінили. Наступний пристрій зламається в одному з тих самих трьох місць.