VPN mijoz rejimidagi router: LAN qurilmalari nima uchun yo'qoladi
Router VPN mijoz rejimiga o'tgach LAN qurilmalari yo'qoladi: avval yuborish yo'lidagi tekshiruv funksiyasini, so'ng firmware o'zgartirgan LAN diapazonini sinab ko'ring.
Mijoz rejimining o'zi LAN kirishini o'ldiradi degan ishonch odamlarni noto'g'ri sozlamalar menyusiga yuboradi, haqiqiy sabablar esa odatda ikkita. Tunnel LAN ko'prigini olib tashlamaydi va simli hamda simsiz mijozlarning bir-biriga yetishini to'xtatmaydi. Mahalliy kirishni routerning yuborish yo'lidagi tekshiruv funksiyasi yoki firmware o'zgartirganda siljigan LAN manzil diapazoni buzadi. Ikkalasi ham bir xil shikoyatni keltiradi va hech biri VPN profilini qayta o'rnatish bilan tuzatilmaydi.
Afsona va mijoz rejimi aslida nimani o'zgartiradi
Mijoz rejimi tunnel interfeysi va u orqali o'tadigan standart marshrutni qo'shadi, so'ng LAN trafigini o'sha tunnelga yuboradi. Simli portlar va simsiz radiolar orasidagi ko'prik tegilmagan holda qoladi, mahalliy kommutatsiya ham. O'zgaradigan narsa siyosat: qaysi trafik yuboriladi, qayerda tarjima qilinadi va mijozlar qaysi hal qiluvchini oladi.
Bu farq muhim, chunki buzilgan LAN odatda o'sha uch siyosatdan biri o'zgarganini bildiradi, router kommutator bo'lishni to'xtatganini emas. O'z boshqaruv sahifasiga hali javob beradigan router LAN interfeysi tirikligining dalilidir. Hech narsaga javob bermaydigan routerning boshqa muammosi bor, masalan o'zgargan LAN manzili yoki noto'g'ri quyi tarmoqdagi mijoz.
Shuning uchun foydali birinchi qadam qaysi qatlam buzilganini topish, shubha qilgan qatlamni o'zgartirish emas.
Sozlamaga tegishdan oldin uchta nishonni sinang
Simli mijozdan uchta nishonni alohida sinab ko'ring va har bir natijani yozing: routerning o'z LAN manzili, o'sha kommutatordagi boshqa qurilma IP bo'yicha, va faqat tunnel orqali yetib boriladigan narsa. Ularni shu tartibda bajaring, chunki har bir natija boshqa qatlamni istisno qiladi. Birinchi bosqichda nomlar o'rniga manzillardan foydalaning, chunki nom muvaffaqiyatsizligi DNSni ulanish savoliga aralashtiradi.
Javoblar naqshi diagnozdir. Mahalliy qurilmalar javob bermaganda router javob bersa, bu marshrutlash emas, mahalliy kommutatsiya yoki filtrlash funksiyasiga ishora qiladi. Tunnel tomoni javob bermaganda mahalliy qurilmalar javob bersa, bu tunnel marshruti yoki uzoq firewallga ishora qiladi. Hamma manzil bo'yicha javob berib, nomlar muvaffaqiyatsiz bo'lsa, bu hal qiluvchi masalasi va marshrut tahriri uni tuzatmaydi.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Jadvalni test natijalari yonida saqlang. U noaniq shikoyatni amal qilish mumkin bo'lgan bitta satrga aylantiradi.
Yuborish yo'li ichidagi xavfsizlik qatlami
Iste'molchi routerlarida yuborilayotgan trafikni kuzatadigan tekshiruv funksiyasi tobora ko'p uchraydi va u LANdan tunnelga paketlarni tashuvchi o'sha yo'lda ishlaydi. Bu tekshiruv tunnel trafigini tasniflay olmasa, tunnelning o'zi ishlab turgan va router sog'lom ulanish haqida xabar bergan holda yuborish to'xtab qolishi mumkin. VPN jurnalida bu ko'rinmaydi, chunki VPN haqiqatan ham ulandi.
Diagnoz boshqariladigan tajriba, doimiy o'zgartirish emas. Joriy sozlamani yozing, funksiyani bitta test davomida o'chiring, tunnelni qayta ko'taring va bitta mahalliy xostni manzil bo'yicha sinang. Qaytgan yuborish sizga kerakli dalil, shundan keyin murosa taxmin o'rniga qaror bo'ladi. Hech narsa o'zgarmasa, darhol qayta yoqing va manzil sababiga o'ting.
Tunnel ishlashda davom etishi uchun pullik xavfsizlik funksiyasini o'chirilgan holda qoldirish ongli ravishda qilinadigan va yoziladigan murosa. Tunnel boshqa qurilmada bo'lishi kerakmi, deb so'rash ham arziydi, chunki hamma narsani tekshirishi kerak bo'lgan router va hamma narsani yuborishi kerak bo'lgan router ikki xil ish.
Ikkinchi sabab: LAN diapazoni siljidi
Firmware yangilanishlari LAN manzilini muntazam ravishda ishlab chiqaruvchining standart qiymatiga qaytaradi, ba'zi routerlarda esa LAN shaxsiy diapazonni saqlaydimi yoki yuqoridagi qurilmadan birini meros qilib oladimi, shuni hal qiladigan aniq rejim kaliti bor. 192.168.8.x kutayotgan mijoz 10.64.0.x ga tushishi mumkin, shunda tunnel butunlay sog'lom bo'lsa ham xostga SSH sessiyasining muddati tugaydi.
ipconfig /all
ip addr show
ip route get 192.168.8.20Router sahifasini ochishdan oldin ijaradan prefiks va shlyuzni o'qing. Birinchi ikki buyruq mijoz aslida nima olganini ko'rsatadi, uchinchisi esa mahalliy manzil uchun mijoz qaysi interfeysdan foydalanishini ko'rsatadi, qolgan marshrut yoki eskirgan quyi tarmoq shunday o'zini namoyon qiladi. So'ng buni LAN sahifasi va router turgan rejim bilan solishtiring.
Agar diapazon qayta olmasa, uni nomlaydigan har bir obyektni yangilang: DHCP bandlovlari, eski quyi tarmoqqa har qanday statik marshrut va oldingi prefiksni olib yuruvchi har bir firewall qoidasi. Tunnelning uzoq quyi tarmog'i bilan to'qnashadigan diapazon yomonroq variant, chunki mahalliy qurilmalar yetib borishda qoladi, uzoq manzillar esa jimgina LANga noto'g'ri yo'naltiriladi.
Qayta ulanib, paket tartibida qayta sinang
Ikki o'zgartirishdan biridan keyin tunnelni qayta ulang va testlarni paket tartibida takrorlang: router, mahalliy xost, uzoq xost, so'ng nomlar, so'ng ilova. Ilovani birinchi sinash qaysi qatlam hali buzilganini yashiradi, keshdagi nomga brauzerning qayta urinishi esa marshrutlash nosozligidek ko'rinishi mumkin.
VPN profili yoniga firmware versiyasini, LAN prefiksini va tekshiruv funksiyasining holatini yozing. Uchtasi ham keyingi yangilanish ustidan yozishi mumkin bo'lgan konfiguratsiya, ikki satr qayd esa hozir o'tkazgan soatni tejaydi.