Vì sao VPN đường hầm đầy đủ che mất các VLAN cục bộ được định tuyến

Nút “cho phép mạng cục bộ” trong một ứng dụng VPN nghe như thể nó bao trùm mọi thứ trong tòa nhà. Trên thực tế, nó thường chỉ thêm vài ngoại lệ địa chỉ riêng vào tuyến mặc định của đường hầm rồi dừng ở đó. VLAN lưu trữ của bạn vẫn chỉ truy cập được nếu một tuyến cho đúng tiền tố đó sống sót qua việc đường hầm xuất hiện, và trên nhiều ứng dụng thì nó không sống sót.

Đây là câu hỏi định tuyến chứ không phải thiết lập VPN, đó là tin tốt: nó có câu trả lời cụ thể.

Cho phép mạng cục bộ thực sự bao gồm những gì

Các ứng dụng triển khai tùy chọn đó theo những cách khác nhau. Một số thêm tuyến cho subnet mà máy đang gắn vào, một số thêm các dải RFC 1918, và một vài ứng dụng chỉ loại trừ cổng mặc định. Không ứng dụng nào biết rằng router văn phòng của bạn còn phục vụ một VLAN lưu trữ, một phân đoạn phòng lab hay một subnet máy in, vì những tiền tố đó không nằm trên đường liên kết mà ứng dụng nhìn thấy. Hãy đọc tài liệu của chính ứng dụng để biết hành vi chính xác thay vì giả định rằng nhãn mô tả đúng sơ đồ mạng của bạn.

Khác biệt này quan trọng nhất trong thiết kế đường hầm đầy đủ, nơi ứng dụng cố ý thay tuyến mặc định để toàn bộ lưu lượng đi qua VPN. Đó chính là toàn bộ mục đích của thiết kế, và cũng chính là điều khiến các mạng cục bộ được định tuyến biến mất. Chúng chưa bao giờ được một tuyến riêng bao phủ; chúng đi nhờ trên tuyến mặc định vừa bị thay thế. Một ứng dụng không thể định tuyến thứ mà nó không biết là tồn tại, và nó chỉ học về các tiền tố gắn với giao diện của chính nó. Mọi thứ còn lại phải do người hiểu sơ đồ mạng mô tả.

Các tuyến kết nối dừng ở router đầu tiên

Một máy trạm tại 192.168.10.20/24 với cổng 192.168.10.1 tự động nhận một tuyến kết nối cho 192.168.10.0/24. VLAN lưu trữ tại 192.168.20.0/24 là một tiền tố khác, chỉ truy cập được qua cổng đó, và máy trạm không có tuyến nào cho nó ngoài tuyến mặc định. Trước khi đường hầm dựng lên, tuyến mặc định thông thường tình cờ gửi lưu lượng lưu trữ tới 192.168.10.1 và mọi thứ chạy tốt.

Khi VPN cài tuyến mặc định kiểu đường hầm đầy đủ, các gói cho 192.168.20.1 đi theo tuyến mặc định mới vào đường hầm. Cổng từ xa không hề biết tiền tố đó nằm ở đâu, nên nó hủy chúng hoặc chuyển tiếp tới một nơi vô ích. Không có gì bị cấu hình sai trên VLAN lưu trữ; đường đi của nó chỉ được vay, và khoản vay đã bị đòi lại.

Cám dỗ là vươn tới một ngoại lệ rộng như cặp tuyến /1 hoặc một tuyến mặc định thứ hai. Hãy cưỡng lại. Ngoại lệ càng hẹp thì càng dễ giải thích, kiểm toán và gỡ bỏ khi mạng thay đổi.

Đặt ngoại lệ vào bảng giành phần thắng

Trong một bảng định tuyến, /24 thắng /0 hoặc /1 nhờ khớp tiền tố dài nhất, nên một tuyến cụ thể tới VLAN lưu trữ qua cổng cục bộ là đủ, miễn là bảng đó có được tra tới. Trên Linux dạng thông thường rất ngắn:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Định tuyến theo chính sách làm phức tạp bảo đảm đó. Một quy tắc đứng trước có thể gửi lưu lượng tới một bảng mà tuyến mặc định của bảng đó trỏ vào đường hầm, và bảng chính giữ /24 của bạn khi đó không bao giờ được chạm tới. Hãy kiểm tra các quy tắc trước khi coi tuyến là có thẩm quyền, vì một mục trông đúng trong bảng sai lại giải thích được sự cố trông như tuyến bị hỏng.

Sau đó hãy làm cho mục đó bền vững qua cơ chế mà ứng dụng hỗ trợ hoặc qua trình quản lý mạng sở hữu giao diện. Một tuyến gõ ở dấu nhắc sẽ biến mất ở lần kết nối lại kế tiếp, và một tuyến gắn với một cổng Wi-Fi duy nhất không mang sang được mạng kế tiếp mà máy tính xách tay ghé qua.

Tên và chính sách không đi theo tuyến

Sửa tuyến khôi phục các gói, không khôi phục tên. Nếu thiết bị cục bộ được phân giải qua một bộ phân giải được đẩy xuống mà không biết gì về chúng, việc gắn kết vẫn thất bại dù địa chỉ truy cập được. Tên cục bộ cần một cách bố trí DNS cục bộ hoặc chia tách, và đó là quyết định riêng so với ngoại lệ tuyến.

Chính sách lại tách riêng. Bộ lọc truy cập cục bộ của ứng dụng VPN có thể cố ý cấm lưu lượng tới các dải riêng, và một tuyến không ghi đè quy tắc đó. Trên một mạng không tin cậy, địa chỉ riêng cũng không phải bằng chứng rằng đích là máy chủ lưu trữ của bạn, nên ngoại lệ phải cụ thể như chính tuyến.

Một bản hợp đồng bạn có thể bàn giao

Thiết kế hoàn chỉnh nên đọc như một danh sách ngắn: lưu lượng internet nói chung đi theo đường hầm, và những tiền tố cục bộ có tên này giữ đường đi riêng qua router cục bộ. Hãy ghi lại các tiền tố, bước nhảy kế tiếp và hậu tố DNS đi kèm, và giữ danh sách đủ ngắn để người khác kiểm chứng mà không phải đọc bảng định tuyến.

Hãy chú ý chỗ chồng lấn giữa dải cục bộ và dải từ xa. Một VLAN lưu trữ chia sẻ tiền tố với thứ gì đó phía sau VPN sẽ phân giải theo tuyến nào cụ thể hơn, và hành vi thu được gây khó hiểu theo kiểu trông như chập chờn. Đánh số lại một bên thường rẻ hơn là gỡ lỗi sự mơ hồ đó mãi mãi.

Hãy kiểm tra hợp đồng hai lần: một lần khi đường hầm bật và một lần khi nó tắt. Nếu đường đi cục bộ chỉ chạy trong một trong hai trạng thái đó, ngoại lệ vẫn chưa phải hợp đồng.