VPN adapteri /32 ko'rsatadi: bu bitta manzil degani emas

VPN adapteridagi 255.255.255.255 maskasi klientning o'z manzili, yetib borish mumkin bo'lgan xostlar chegarasi emas. Marshrutlar, shlyuz qamrovi va qaytish yo'lini alohida o'qing.

Adapterlar 255.255.255.255 ko'rsatadi va ko'pincha VPN aynan bitta manzilga yetadi degan xulosaga kelinadi. Bunday o'qish klientning o'z manzilini tunnel orqali marshrutlanadigan manzillar to'plami bilan aralashtiradi. Nuqta-nuqtaga yoki marshrutlangan interfeysda bu ikki xil obyekt, va ulardan faqat bittasi yetib borishni cheklaydi. Afsona saqlanib qolgan, chunki maska odamlar Ethernetda o'rgangan quyi tarmoq maskasiga o'xshaydi.

Afsona: xost maskasi bitta yetib boriladigan xost degani

/32 ajratmasi interfeysga ushbu bog'lanishning bu uchi qaysi manzilga tegishli ekanini aytadi, va nuqta-nuqtaga bog'lanishda uning butun ma'nosi shu. Hamkor manzili alohida maydon, hamkordan narida nima borligini aytadigan marshrutlar esa yana alohida. Maskada hech narsa uzoq tarmoqni tasvirlamaydi, chunki uzoq tarmoqlar tasvirlanadigan joy maska emas. Uni yetib borish chegarasi deb o'qish o'z uy raqamingizni tashrif buyurishga ruxsat berilgan barcha manzillar ro'yxati deb o'qish bilan barobar.

Bu chalkashlikning haqiqiy ildizi bor: Ethernetda xost maskasi haqiqatan o'sha segmentdagi bitta manzilni bildirardi. Tunnel Ethernet segmenti emas, va undan nima o'tishini maska emas, klientning marshrutlash jadvali hal qiladi. Shuning uchun o'sha /32 butun bir ma'lumot markazi oldida turishi mumkin.

Manzil va marshrutlarni alohida obyektlar sifatida o'qing

Interfeys va jadvalni birga chop eting, so'ng ularni ikki savolga ikki javob sifatida o'qing. Manzil bu uchi kim ekanini javob beradi; marshrutlar trafik qayerga borishi mumkinligini javob beradi. Uchinchi savol, shlyuz qaysi manzillarga ruxsat beradi, klientda umuman ko'rinmaydi. iproute2 manzillar ma'lumotnomasi mahalliy manzil, hamkor va prefiks marshruti maydonlarini aynan shu sabab bilan alohida tasvirlaydi.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Windowsda ham manzillar ro'yxati va marshrutlash jadvali o'rtasida xuddi shunday bo'linish bor, va qidiruv buyrug'i muayyan manzil uchun qaysi biri yutishini ko'rishning eng tez yo'li. Agar qidiruv tunnel interfeysini qaytarsa, klient paketni o'sha yerga yuboradi. Agar u jismoniy adapterni qaytarsa, klient hech qachon VPNdan so'ramaydi, va server tomonidagi hech qanday ruxsat buni o'zgartirmaydi. Sizga haqiqatan kerak bo'lgan manzilni tekshiring, umumiy ommaviy manzilni emas.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Agar qidiruv noto'g'ri interfeysni ko'rsatsa, to'xtang. Bu klientning marshrutlash muammosi, va u klientda tuzatiladi.

Nega maskani kengaytirish odatda ahvolni yomonlashtiradi

Ajratmani /24 ga o'zgartirish, ofis LANiga o'xshashi uchun, bog'lanishda prefiks yaratishi mumkin: yadro endi butun /24 tunnel interfeysiga bevosita ulangan deb hisoblaydi. Shlyuz orqali marshrutlanishi kerak bo'lgan manzillarga trafik keyin bog'lanishda qo'shni borga o'xshab yuboriladi. Natija server nosozligiga o'xshaydigan qora tuynuk.

U haqiqiy muammoni ham yashiradi, ya'ni yo'q marshrutni yoki shlyuzda yo'q ruxsatni. Ularning hech birini kengroq maska yaratmaydi, va ikkisi ham o'zgarishdan keyin qoladi. Agar loyiha interfeysda kattaroq prefiksni talab qilsa, bu ishlatilayotgan interfeys modeli uchun qaror bo'lib, hujjatlar qo'lda turib qabul qilinadi. Maskani boshqa mahsulotning ekran suratlaridan ko'chirish bu qaror emas.

Agar uzoq prefiks marshruti yo'q bo'lsa, uning ta'minlanishini tuzating. Agar u mavjud bo'lib, ulanish baribir rad etilsa, maska hech qachon tashxis bo'lmagan.

Marshrut to'g'ri bo'lganda va oqim baribir muvaffaqiyatsiz bo'lganda

To'g'ri marshrut faqat klient paketni yuborishini isbotlaydi. Shlyuz baribir manzilni qabul qilishi kerak, ajratilgan manzil uchun qaytish yo'li bo'lishi kerak, va xizmat oqimga ruxsat berishi kerak. Ushbu uchtasini alohida sinab ko'ring: klientdagi qidiruv, shlyuzning ruxsat etilgan qamrovi va kerakli bitta serverga so'rov. Uchtasi ham tayyor bo'lmasdan oldin autentifikatsiyaning muvaffaqiyatli bo'lishi odatiy hol, va shuning uchun ulangan klient hech qayerga yetib bormasligi mumkin.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Tarmoq obyektlari va guruh ruxsatlarini qurilma boshqaradigan xizmatda ularning egasi yonida saqlang. Klientga qayerga yetish aytilgani va unga nimani ishlatishga ruxsat berilgani alohida sozlamalar, ko'pincha alohida ekranlarda. Bittasini o'zgartirib, ikkinchisini sinash — chiptaning ikki jamoa o'rtasida sakrash usuli.

Iste'foga chiqarilishi kerak bo'lgan afsona — maska yetib borish chegarasi degan fikr. Manzil, marshrutlar va shlyuz siyosatini uchta alohida fakt sifatida o'qing, shunda /32 cheklovga o'xshashni to'xtatadi va oddiy tunnel ajratmasiga o'xshay boshlaydi.

O'xshash maqolalar