Nima uchun to‘liq tunnel VPN marshrutlangan mahalliy VLAN’laringizni yashiradi

VPN mijozidagi “mahalliy tarmoqqa ruxsat” kaliti binodagi hamma narsani qamrab oladigandek tuyuladi. Amalda u odatda tunnelning standart marshrutiga bir nechta xususiy manzil istisnolarini qo‘shadi va shu bilan to‘xtaydi. Sizning saqlash VLAN’ingiz faqat quyidagi holatda ochiq qoladi: o‘sha aniq prefiks uchun marshrut tunnel kelishiga bardosh bersa, va ko‘p mijozlarda u bardosh bermaydi.

Bu VPN sozlamasi emas, marshrutlash savoli, bu esa yaxshi xabar: uning aniq javobi bor.

Mahalliy tarmoqqa ruxsat aslida nimani qamrab oladi

Mijozlar bu parametrni turlicha amalga oshiradi. Ba’zilari mashina ulangan quyi tarmoq uchun marshrutlar qo‘shadi, ba’zilari RFC 1918 diapazonlarini qo‘shadi, bir nechtasi esa faqat standart shlyuzni chiqarib tashlaydi. Ularning hech biri ofis routeringiz saqlash VLAN’i, laboratoriya segmenti yoki printer quyi tarmog‘iga ham xizmat qilishini bilmaydi, chunki bu prefikslar mijoz ko‘ra oladigan liniyada emas. Yorliq topologiyangizni tasvirlaydi deb taxmin qilish o‘rniga aniq xatti-harakat uchun mijozning o‘z hujjatlarini o‘qing.

Bu farq to‘liq tunnel dizaynida eng muhim, u yerda mijoz barcha trafik VPN orqali o‘tishi uchun standart marshrutni ataylab almashtiradi. Aynan shu dizaynning butun maqsadi va aynan shu mahalliy marshrutlangan tarmoqlarni yo‘q qiladi. Ular hech qachon o‘z marshruti bilan qamrab olinmagan; ular hozir almashtirilgan standart marshrut ustida ketayotgan edi. Mijoz mavjudligini bilmagan narsani marshrutlay olmaydi va faqat o‘z interfeysiga bog‘langan prefikslar haqida biladi. Qolgan hamma narsani topologiyani biladigan kimdir tasvirlashi kerak.

Ulangan marshrutlar birinchi routerda to‘xtaydi

192.168.10.20/24 manzilidagi ish stansiyasi 192.168.10.1 shlyuzi bilan 192.168.10.0/24 uchun ulangan marshrutni avtomatik oladi. 192.168.20.0/24 dagi saqlash VLAN’i boshqa prefiks, faqat o‘sha shlyuz orqali ochiladi va ish stansiyasida standartdan boshqa unga marshrut yo‘q. Tunnel ko‘tarilishidan oldin oddiy standart marshrut saqlash trafigini tasodifan 192.168.10.1 ga yuboradi va hammasi ishlaydi.

VPN to‘liq tunnel standartini o‘rnatganda, 192.168.20.1 uchun paketlar yangi standart bo‘yicha tunnelga kiradi. Uzoq shlyuz bu prefiks qayerda yashashini bilmaydi, shuning uchun ularni tashlab yuboradi yoki foydasiz joyga uzatadi. Saqlash VLAN’ida hech narsa noto‘g‘ri sozlanmagan edi; uning yo‘li qarzga olingan va qarz qaytarib talab qilindi.

Vasvasa — /1 marshrut jufti yoki ikkinchi standart kabi keng istisnoga qo‘l cho‘zish. Bunga qarshi turing. Istisno qanchalik tor bo‘lsa, tarmoq o‘zgarganda uni tushuntirish, tekshirish va olib tashlash shunchalik oson.

Istisnoni yutadigan jadvalga qo‘ying

Bitta marshrutlash jadvali ichida /24 eng uzun prefiks mosligi bo‘yicha /0 yoki /1 ni yutadi, shuning uchun mahalliy shlyuz orqali saqlash VLAN’iga aniq marshrut yetarli, faqat jadvalga umuman murojaat qilinsa. Linux’da odatiy shakl qisqa:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Siyosat marshrutlash bu kafolatni murakkablashtiradi. Avvalgi qoida trafikni o‘zining standart marshruti tunnelga qarab turgan jadvalga yuborishi mumkin va sizning /24 ni saqlovchi asosiy jadvalga hech qachon yetib borilmaydi. Marshrutni vakolatli deb hisoblashdan oldin qoidalarni tekshiring, chunki noto‘g‘ri jadvaldagi to‘g‘ri ko‘rinadigan yozuv buzilgan marshrutga o‘xshaydigan nosozlikni tushuntiradi.

Keyin yozuvni mijoz qo‘llab-quvvatlaydigan mexanizm yoki interfeysga egalik qiluvchi tarmoq menejeri orqali doimiy qiling. Buyruq satrida terilgan marshrut keyingi qayta ulanishda yo‘qoladi va bitta Wi-Fi shlyuziga bog‘langan marshrut noutbuk tashrif buyuradigan keyingi tarmoqqa ko‘chmaydi.

Nomlar va siyosat marshrutlarga ergashmaydi

Marshrutni tuzatish paketlarni tiklaydi, nomlarni emas. Agar mahalliy qurilmalar ular haqida hech narsa bilmaydigan itarib yuborilgan rezolver orqali hal qilinsa, manzil ochiq bo‘lsa ham mount baribir muvaffaqiyatsiz bo‘ladi. Mahalliy nomlar mahalliy yoki bo‘lingan DNS tartibini talab qiladi va bu marshrut istisnosidan alohida qaror.

Siyosat yana alohida. VPN mijozining mahalliy kirish filtri xususiy diapazonlarga trafikni ataylab taqiqlashi mumkin va marshrut bu qoidani bekor qilmaydi. Ishonchsiz tarmoqda xususiy manzil ham manzil sizning saqlash serveringiz ekaniga dalil emas, shuning uchun istisno marshrutning o‘zi kabi aniq bo‘lishi kerak.

Topshirishingiz mumkin bo‘lgan shartnoma

Tayyor dizayn qisqa ro‘yxat sifatida o‘qilishi kerak: umumiy internet trafigi tunnelga ergashadi va bu nomlangan mahalliy prefikslar mahalliy router orqali o‘z yo‘lini saqlaydi. Prefikslarni, keyingi sakrashni va ular bilan keladigan DNS qo‘shimchasini yozib qo‘ying va ro‘yxatni kimdir marshrutlash jadvalini o‘qimasdan tekshira oladigan darajada qisqa tuting.

Mahalliy va uzoq diapazonlar orasidagi ustma-ustlikka e’tibor bering. VPN ortidagi narsa bilan prefiksni bo‘lishadigan saqlash VLAN’i qaysi marshrut aniqroq bo‘lsa, o‘shanga hal bo‘ladi va natijaviy xatti-harakat oraliqdek ko‘rinadigan darajada chalkash. Bir tomonni qayta raqamlash bu noaniqlikni abadiy tuzatishdan odatda arzonroq.

Shartnomani ikki marta sinab ko‘ring: bir marta tunnel ko‘tarilganda va bir marta u tushganda. Agar mahalliy yo‘l bu holatlardan faqat birida ishlasa, istisno hali shartnoma emas.