Cấp cho các máy trong LAN tuyến quay về VPN bằng tùy chọn 121 của DHCP

Các máy khách VPN từ xa kết nối, máy chủ LAN trả lời, và câu trả lời đi ra qua bộ định tuyến internet thông thường rồi chết ở đó. Một máy chủ có thể sửa bằng tuyến tĩnh, nhưng cả một mạng con của chúng nên được xử lý ngay tại nơi chúng vốn đã nhận cấu hình mạng. Tùy chọn 121 của DHCPv4 phân phát đúng loại tuyến đích đó, và đây là phần người ta thường làm sai ngay khi quên tuyến mặc định. Triệu chứng là lưu lượng một chiều: yêu cầu đến còn câu trả lời biến mất.

Trước tiên hãy gọi tên ba địa chỉ

Lấy một LAN cụ thể: 192.168.50.0/24 với bộ định tuyến mặc định thông thường ở 192.168.50.1 và một cổng VPN riêng ở 192.168.50.2. Các máy khách từ xa đã xác thực chiếm 10.90.0.0/24.

Tuyến mà mọi máy tham gia cần là 10.90.0.0/24 via 192.168.50.2. Đích là nhóm máy khách, và chặng kế tiếp là địa chỉ LAN của cổng, không phải địa chỉ đường hầm của nó.

Mã hóa nó như một tuyến tĩnh không lớp

Tùy chọn 121 mang các cặp tiền tố và chặng kế tiếp, và RFC 3442 định nghĩa cả cách mã hóa lẫn hành vi máy khách theo sau. Với một phiên bản dnsmasq hiện có chỉ phục vụ LAN minh họa này, hình dạng cấu hình là:

dhcp-option=121,10.90.0.0/24,192.168.50.2,0.0.0.0/0,192.168.50.1

Đây là một đoạn, không phải dịch vụ DHCP mới. Trên máy chủ phục vụ nhiều phân đoạn, hãy giới hạn tùy chọn bằng các thẻ hoặc chính sách mạng bạn đã dùng. Giữ cấu hình trước đó trong tay, vì hoàn tác nghĩa là thêm một lần gia hạn thuê, không phải khởi động lại.

Đừng làm mất tuyến mặc định

Đây là cái bẫy. Máy khách nhận tùy chọn 121 phải bỏ qua tùy chọn Router thông thường, nên chỉ quảng bá tuyến của nhóm VPN có thể để máy đó hoàn toàn không có tuyến mặc định. Máy vẫn trông như đã cấu hình và lặng lẽ mất internet. Người dùng mô tả đó là mạng sập trong khi mọi giao diện vẫn hoạt động.

Hãy đưa tuyến mặc định mong muốn vào cùng danh sách, như đoạn trên làm. Giữ cả tùy chọn Router thông thường cho những máy khách không triển khai tuyến không lớp; chính cách máy chủ xử lý tùy chọn quyết định gửi gì cho ai.

Kiểm tra xem máy khách sẽ chấp nhận gì

Máy được đặt địa chỉ thủ công không bao giờ nhận được điều này, vì nó không xin thuê. Hỗ trợ phía máy khách cũng khác nhau, nên hãy thử trên hệ điều hành bạn thực sự chạy thay vì cho rằng mọi thiết bị đều tôn trọng tùy chọn 121. Xác nhận với chủ những máy chủ đó xem máy nào có địa chỉ tĩnh. Những máy đó cần mục tuyến riêng, nếu không chúng sẽ đơn giản là không tham gia.

Dịch vụ DHCP được quản lý là một giới hạn khác. Một số mạng đám mây không cho quản trị viên công bố tùy chọn tùy ý, và một máy chủ DHCP cạnh tranh trong cùng phân đoạn còn tệ hơn là không có tùy chọn nào.

Xác minh thuê, rồi đến tra cứu

Hãy để chủ DHCP áp dụng thay đổi, sau đó gia hạn thuê trên một máy khách. Các thuê hiện có giữ cấu hình cũ cho đến khi gia hạn, nên kết quả tức thì không được bảo đảm.

Trên một máy khách Linux, hãy đọc các tuyến thực tế và xác nhận cả hai mục:

ip -4 route
ip -4 route get 10.90.0.23

Tra cứu theo ngữ cảnh phải hiển thị tuyến của nhóm qua 192.168.50.2 và tuyến mặc định qua 192.168.50.1. Nếu thiếu tuyến mặc định, bạn đã tái hiện cái bẫy ở trên.

Sau đó thử trao đổi thật

Phân phát tuyến không phải toàn bộ đường đi. Cổng riêng vẫn cần chuyển tiếp, quyền sở hữu các đối tác từ xa và một chính sách truy cập cho phép máy chủ, còn DHCP không xác thực ai cả.

Cuối cùng, hãy có kế hoạch gỡ bỏ. Một tuyến tĩnh đã học không tự rút lui khi VPN sập, nên một chặng kế tiếp cũ kỹ có thể biến tiền tố đó thành lỗ đen rất lâu sau khi đường hầm đã biến mất.