VPN manzili va LAN DHCP ijarasi: tunnel IP-sini kim beradi?

VPN mijozingiz LAN ijara faylida hech qachon ko'rinmaydigan manzilni ko'rsatadi. Haqiqiy taqsimlovchini topish uchun mijozni, IKEv2 yuklamasini va shlyuz hovuzini o'qing.

Mijozni ulang va Wi-Fi belgisi o'rniga adapterga qarang. 10.80.0.14 kabi manzil tunnelda bo'lishi mumkin, holbuki ofis LAN idagi hech bir DHCP server bu ijarani hech qachon qayd etmagan. Qaysi jarayon raqamni tanlagani muammoni tekshirish qayerdan boshlanishini belgilaydi.

Mijozda hamma narsa bir xil ko'rinadi: bitta IPv4 manzil, bitta niqob, ba'zan standart shlyuz. Farq faqat shu manzil uchun kim javob berishini va uning yozuvini kim yuritishini so'raganingizda ko'rinadi.

Tunnel manzilini mijoz tomondan o'qing

Birinchi satr emas, butun blokni o'qisangiz Windows farqni ko'rsatadi. ipconfig /all adapter tavsifini, jismoniy manzilni va DHCP satrini chiqaradi. PPP yoki IKEv2 terish adapteri odatda DHCP o'chirilgan deb xabar beradi, chunki ulanish manzilini LAN serveridan ijaraga olish o'rniga terish paytida kelishgan. DHCP yoqilgan tunnel adapteri odatiy hol emas va alohida tekshirishga arziydi.

Linux bir xil ma'lumotni ikkita asbobga bo'ladi. ip -4 addr show dev tun0 manzil va prefiks uzunligini beradi. nmcli -f IP4 connection show work qiymat ulanish profilidan, havoladagi DHCP almashinuvidan yoki surilgan konfiguratsiyadan kelganini ochib beradi. WireGuard eng aniq holat, chunki interfeys paydo bo'lganda wg-quick konfiguratsiya faylidagi Address satrini qo'llaydi va ulanish paytida hech bir sherik hech narsa ajratmaydi.

Prefiks ham nimanidir aytadi. /32 yoki 255.255.255.255 niqobi shlyuz bitta xost manziliga marshrutlashni kutishini bildiradi, kengroq niqob esa tunnel orqasida qayerdadir havoladagi quyi tarmoqqa ishora qiladi.

IKEv2 konfiguratsiya yuklamasi nima tashiydi

Bu ish uchun IKEv2 ning alohida mexanizmi bor. RFC 7296, 3.15.1 bo'limida tasvirlangan konfiguratsiya yuklamasi INTERNAL_IP4_ADDRESS, INTERNAL_IP4_NETMASK, INTERNAL_IP4_DNS kabi atributlarni va ularning IPv6 muqobillarini tashiydi. Mijoz afzalligi bo'lmasa nol uzunlikdagi qiymatli atribut yuboradi, javob beruvchi esa ishlatilishini istagan qiymatni qaytaradi. Bu almashinuv allaqachon shifrlangan IKE_AUTH ichida boradi, shuning uchun hech bir DHCP eshittirishi tunnelni kesib o'tmaydi.

Bundan ikkita natija kelib chiqadi. Birinchidan, manzilni javob beruvchi yoki u maslahatlashadigan har qanday avtorizatsiya tizimi tanlaydi, shuning uchun hovuz shlyuzda, RADIUS javobida yoki identifikatsiya provayderi xaritasida bo'lishi mumkin. Ikkinchidan, DNS atributi manzil atributidan alohida. 10.80.0.14 olish qaysi rezolver qaytgani yoki umuman qaytgani haqida hech narsa demaydi.

Tarmoq niqobi atributi amalda ixtiyoriy. Ko'p o'rnatishlar faqat manzil qaytaradi va mijozga xost marshrutini o'rnatishga ruxsat beradi, shuning uchun bir xil hovuz bir mijozda /32, boshqasida /24 bo'lib ko'rinishi mumkin.

LAN DHCP doirasi va VPN hovuzi to'qnashadigan joy

Muammo ikkala taqsimlovchi ham bir xil diapazonga ishora qilganda boshlanadi. 10.20.30.0/24 uchun DHCP server 10.20.30.128/25 uchun sozlangan VPN hovuzi haqida hech narsa bilmaydi, shuning uchun shlyuz o'sha manzilni uzoq mijozga berayotganda uni 10.20.30.140 ni printerga ijaraga berishdan hech narsa to'xtatmaydi. To'qnashuv kunlab jim turadi va keyin vaqti-vaqti bilan takrorlanuvchi nusxa sifatida yuzaga chiqadi.

Marshrutlangan saytdan saytga loyiha to'qnashuvdan o'z tuzilishi bilan qochadi. Filialdagi xost mahalliy DHCP server bergan manzilni saqlaydi. Ikkala shlyuzdagi tunnel interfeyslari o'z havola manzillarini olib yuradi, marshrutlash jadvali paketlar qanday yurishini hal qiladi. Uzoqdan kirish mijozlarining manzillari uchinchi toifa va ularni shlyuzning havola manzillari bilan aralashtirmaslik kerak.

Tunnelni LAN ga ko'prik qilib ulash bu ajratishni olib tashlaydi. Agar loyihaga chindan ham bitta eshittirish domeni kerak bo'lsa, VPN oxirgi nuqtasi o'zi manzil chiqarish o'rniga rele yoki umumiy vakolatli manba orqali DHCP server kabi taqsimlash qarorlarida qatnashishi kerak.

Manzil qaysi jarayonga tegishli ekanini tekshiring

Diapazonni o'zgartirishdan oldin egalikni isbotlang. Mijozda manzil va prefiksni yozib oling. LAN da ijara ma'lumotlar bazasidan qidiring. Shlyuzda u berish uchun sozlangan hovuzlarni sanab o'ting. Ijara faylidan topilgan manzil DHCP serveriga tegishli, ya'ni tunnel ko'prik yoki rele orqali o'tgan; faqat shlyuz hovuzida topilgan manzil tunnel oxirgi nuqtasiga tegishli.

# client: address and prefix on the tunnel interface
ip -4 addr show dev tun0

# LAN DHCP server: is this address leased to anyone?
grep -c '10.80.0.14' /var/lib/dhcp/dhcpd.leases

# gateway: pools that remote-access clients draw from
sudo swanctl --list-pools

Javob aniq bo'lganda to'rtta narsani yozing: qaysi komponent mijoz manzilini taqsimlaydi, unga qaysi diapazon ajratilgan, qaytish trafigi shu diapazonga qanday yetadi va qaysi resurslar uni qabul qiladi. Bu to'rt yozuv virtual adapter satrini operatsion faktga aylantiradi.

Shu yerda bo'lganingizda DNS atributi uchun tekshiruvni takrorlang. Manzil beradigan, lekin rezolver bermaydigan hovuz mijozni mahalliy DNS ida qoldiradi, bu esa LAN allaqachon ishlatayotgan manzilni beradigan hovuzdan boshqa nosozlik.

O'xshash maqolalar