Địa chỉ L2TP đó là IPCP, không phải hợp đồng thuê DHCP trên LAN

Kết nối lên và bộ điều hợp hiển thị một địa chỉ trong dải của văn phòng, nên kết luận tự nhiên là VPN đã cấp cho bạn địa chỉ LAN và do đó đặt bạn vào LAN. Không nửa nào trong hai nửa đó hoàn toàn đúng. L2TP mang một phiên PPP, và PPP thương lượng địa chỉ IPv4 bên trong bằng IPCP. Địa chỉ đó là tham số phiên được hai bên thỏa thuận, không phải hợp đồng thuê do máy chủ DHCP của văn phòng cấp, và việc có nó không biến bạn thành hàng xóm trên dây của văn phòng.

Hai địa chỉ trong một kết nối

Có hai cuộc thương lượng độc lập trong một kết nối L2TP. Cuộc bên ngoài thiết lập một đường đi được bảo vệ giữa thiết bị của bạn và điểm cuối VPN trên bất kỳ mạng nào bạn đã có. Cuộc bên trong là phiên PPP, và đó là nơi địa chỉ phiên của bạn và địa chỉ phía đối diện được thỏa thuận. Lưu lượng Internet có thể đi ra hoàn toàn dưới một địa chỉ thứ ba, địa chỉ công cộng của điểm cuối, nên trang kiểm tra VPN và địa chỉ bộ điều hợp hiếm khi khớp nhau.

Tách ba vai trò đó ra giúp trả lời phần lớn câu hỏi mà mọi người mang đến tầng này. Một số riêng trên giao diện VPN là bình thường và đáng mong đợi. Nó không nói gì về việc điểm cuối có thay đổi lối ra công cộng của bạn hay không, và tự nó không quyết định lưu lượng của bạn đến được những đích nào.

IPCP thực sự làm gì

IPCP là giao thức điều khiển IPv4 cho PPP. Mỗi bên gửi các thông điệp Configure-Request mô tả những tùy chọn mình muốn, và tùy chọn địa chỉ là một trong số đó. Một máy khách chưa có địa chỉ thường hỏi bằng 0.0.0.0, và máy chủ trả lời bằng Configure-Nak mang địa chỉ mà nó muốn máy khách dùng. Sau đó máy khách yêu cầu địa chỉ đó, và phiên lên với một địa chỉ cục bộ và một địa chỉ từ xa.

Trao đổi đó được ghi trong đặc tả PPP và IPCP, và nó giải thích một chi tiết trông như lỗi: địa chỉ do máy chủ chọn theo chính sách của nó, có thể là một nhóm, một thiết lập cho từng người dùng hoặc một địa chỉ gắn với danh tính đã xác thực. Khi nhóm cạn hoặc chính sách xung đột với yêu cầu, xác thực có thể thành công trong khi thương lượng địa chỉ thất bại, và máy khách báo một kết nối không bao giờ ổn định.

ip addr show ppp0
ip route show default
dmesg | grep -i pppd

Một dòng nhật ký pppd nêu địa chỉ cục bộ và địa chỉ từ xa là kết thúc thành công của cuộc thương lượng đó. Việc nó thiếu đi, bên cạnh một lần xác thực thành công, chỉ về giai đoạn địa chỉ chứ không phải thông tin đăng nhập.

Vì sao LAN không thể trả lời bạn

Một địa chỉ từ dải của phía xa tạo ra kỳ vọng rằng các máy trong LAN đó có thể đến được bạn, và phần lớn là không, trừ khi máy chủ định tuyến địa chỉ phiên của bạn trở lại đường hầm. Nằm trong một nhóm là phát biểu về việc cấp phát, không phải về cấu trúc liên kết. Máy chủ tệp của văn phòng không có tuyến đến địa chỉ phiên của bạn trừ khi máy chủ VPN chuyển tiếp nó, và có thể điều đó thậm chí không được phép dù có chuyển tiếp.

Đó cũng là lý do các dải chồng lấn gây ra vấn đề không tương xứng với kích thước bề ngoài của chúng. Nếu nhóm chồng lấn với một LAN mà máy khách đã dùng, bảng định tuyến của máy khách giờ có hai yêu sách trên cùng một tiền tố, và cái sai thường thắng vì những lý do không liên quan gì đến đường hầm.

Kiểm tra phiên trước, rồi đến tuyến

Kiểm tra giao diện trước, rồi các tuyến, rồi một đích quan trọng. Mỗi bước có kiểu hỏng riêng, và kiểm tra cả ba cùng lúc sẽ cho một kết luận bạn không thể bảo vệ về sau.

curl -sS --max-time 5 https://ifconfig.me
ping -c 3 10.50.30.20
ip route get 10.50.30.20

Nếu kiểm tra công cộng hiển thị địa chỉ của điểm cuối trong khi một đích riêng hết thời gian, đường hầm đang mang tuyến mặc định của bạn và phía xa không trả lời cho đích đó. Nếu đích riêng trả lời nhưng kiểm tra công cộng không đổi, hồ sơ đang dùng đường hầm chia tách và chỉ một phần lưu lượng dùng phiên.

Giữ ba giai đoạn tách biệt

Xác thực, thương lượng địa chỉ và chuyển tiếp hỏng theo những cách khác nhau, và mỗi thứ có người phụ trách khác nhau. Thông tin đăng nhập là vấn đề danh tính, cạn IPCP là vấn đề chính sách máy chủ, và thiếu tuyến quay về là vấn đề thiết kế mạng. Báo cả ba là “VPN hỏng” bảo đảm một bản sửa chậm.

Ghi lại địa chỉ được cấp, nhóm mà nó đến từ và liệu LAN có phải đến được nó không. Một ghi chú đó ngăn người tiếp theo giả định có hợp đồng thuê DHCP và đi tìm một phạm vi chưa từng liên quan.