Копіювання /32 тунелю не спрямує підмережу офісу
Адреса, яку VPN видає вашому адаптеру, описує канал, а не пункт призначення. Додайте префікс ресурсу до профілю та залиште типовий маршрут у спокої.
VPN підключається, інтерфейс показує адресу з маскою в тридцять два біти, а офісний сервер залишається недоступним. Наступний крок часто полягає в тому, щоб повторно використати цю маску в маршруті, припускаючи, що інтерфейс описує, куди може дістатися тунель. Не описує. Ця адреса описує локальний кінець з’єднання точка-точка, а пункт призначення, який вас цікавить, розташований в іншому префіксі з іншого боку.
Змішуються дві різні речі: адреса, яку тунель дав вам, і мережа, до якої ви хочете дістатися через нього.
Дві адреси, дві задачі
У тунелі точка-точка адреса клієнта часто є єдиною адресою хоста, бо на іншому кінці каналу рівно один партнер. Спільного сегмента й ARP тут немає, тому маска, яка на Ethernet виглядала б абсурдно, тут цілком нормальна.
Префікс призначення — це факт про офісну мережу, а не про тунель. Якщо вам потрібен один сервер, маршрут — це маршрут хоста для цього сервера. Якщо вам потрібна вся офісна підмережа, маршрут — це підмережа. Жодну з цих відповідей не можна прочитати з інтерфейсу, і вибір однієї лише тому, що вона з’явилася поруч з адресою тунелю, — це спосіб зламати робочу конфігурацію.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Третій рядок — це місце, де оптимізм стає простоєм. Маршрутизація всього приватного діапазону в тунель, що обслуговує лише один майданчик, штовхає сторонній трафік на шлях, який не може його доставити, і виникаючі збої виглядають як зламаний VPN, а не як занадто широкий маршрут.
Виберіть префікс із вимоги
Запишіть вимогу реченням, перш ніж торкатися профілю: які хости мають бути доступними і який найвужчий префікс їх покриває? Один сервер — це маршрут хоста. Підмережа — це маршрут підмережі. Діапазон підмереж — це підсумок, а підсумок — це обіцянка, що кожна адреса всередині нього доступна, що рідко буває правдою.
Потім звірте число з тим, що офіс насправді використовує. Копіювання префікса з повідомлення в чаті без звірки з планом адресації майданчика — це спосіб, у який маршрут зрештою вказує на підмережу, якою ніхто не володіє.
Пам’ятайте також, що маршрут — це шлях, а не дозвіл. Шлюз і далі вирішує, чи може ваш клієнт використовувати пункт призначення, і служба й далі може вам відмовити. Правильне встановлення маршруту доставляє пакет туди і нічого не відповідає про авторизацію.
Додавайте до профілю, ніколи не замінюйте його
Маршрути в профілі NetworkManager — це багатозначна властивість, і різниця між встановленням і додаванням — один символ. Використовуйте форму з плюсом, щоб додати запис і зберегти все вже збережене.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Без плюса присвоєння замінює весь список. У профілі, який уже несе кілька префіксів, це мовчки видаляє ті, що працювали, і симптом приходить пізніше як служба, яка раніше була доступна з цього ноутбука.
Використовуйте UUID, а не ім’я. Імена дублюються після відновлення, і з’єднання, яке ви редагуєте, може бути не тим, що несе ваш трафік. Спершу перевірте, чи немає вже ідентичного запису, бо додавання дубліката неохайне, навіть коли воно нешкідливе.
Ця довідка про властивості маршрутів документує пункт призначення, необов’язковий наступний крок, метрику та синтаксис атрибутів для встановленої версії. Прочитайте її перед додаванням наступного кроку, бо його необхідність залежить від інтеграції та топології, а вгадування за першою адресою в списку інтерфейсів — не метод.
Маршрут за замовчуванням і DNS — окремі рішення
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Автоматичні маршрути — це друге, що не варто чіпати недбало. Їхнє придушення заради вирішення одного відсутнього запису може прибрати кілька робочих, і людина, яка це запропонувала, зазвичай дивилася на інший профіль з іншими push.
У DNS свій шлях і свої збої. Ім’я, яке розв’язується в правильну адресу через неправильний резолвер, або резолвер, який не може відповісти за приватну зону, виглядатиме як проблема маршрутизації, хоча маршрут бездоганний. Перевірте адресу та ім’я окремо, потім вирішіть, який рівень насправді відмовив.
Перевірте, що було застосовано
Збережена зміна — не застосована зміна. Перепідключіться через підтримуваний життєвий цикл менеджера, потім подивіться на фактичний маршрут до потрібного пункту призначення і на правила політики, які вирішують, яка таблиця використовується.
Якщо префікс на місці, а з’єднання все ще не працює, ви перейшли до іншої проблеми: вибір адреси джерела, зворотний маршрут на далекому кінці або служба, яка відмовляє вашому клієнту. Кожне з цього — краще місце для пошуку, ніж профіль, який ви вже виправили.