Router ở chế độ máy khách VPN: vì sao thiết bị LAN biến mất
Thiết bị LAN biến mất sau khi router chuyển sang chế độ máy khách VPN: hãy kiểm tra tính năng giám sát trên đường chuyển tiếp trước, rồi đến dải LAN mà firmware đã thay đổi bên dưới bạn.
Niềm tin rằng chính chế độ máy khách giết quyền truy cập LAN đưa người ta vào menu cài đặt sai, và nguyên nhân thật thường là hai. Đường hầm không gỡ cầu LAN và không ngăn máy khách có dây lẫn không dây đến được nhau. Thứ phá vỡ truy cập cục bộ là tính năng giám sát nằm trên đường chuyển tiếp của router hoặc một dải địa chỉ LAN đã dịch chuyển khi firmware làm vậy. Cả hai tạo ra cùng một lời phàn nàn, và không cái nào được sửa bằng cách cài lại hồ sơ VPN.
Huyền thoại, và chế độ máy khách thật sự thay đổi điều gì
Chế độ máy khách thêm một giao diện đường hầm và một tuyến mặc định đi qua nó, rồi chuyển tiếp lưu lượng LAN vào đường hầm đó. Cầu nối giữa cổng có dây và radio không dây vẫn nguyên vẹn, việc chuyển mạch cục bộ cũng vậy. Thứ thay đổi là chính sách: lưu lượng nào được chuyển tiếp, dịch ở đâu và máy khách nhận trình phân giải nào.
Sự khác biệt đó quan trọng vì LAN hỏng thường có nghĩa là một trong ba chính sách ấy đã đổi, không phải router thôi làm switch. Router vẫn trả lời trang quản trị của chính nó là bằng chứng giao diện LAN còn sống. Router không trả lời gì cả có vấn đề khác, như địa chỉ LAN bị đổi hoặc máy khách ở sai mạng con.
Vì vậy bước đầu tiên hữu ích là tìm ra lớp nào hỏng, không phải đổi lớp bạn nghi ngờ.
Thử ba mục tiêu trước khi chạm vào cài đặt
Từ một máy khách có dây, thử ba mục tiêu riêng biệt và ghi lại từng kết quả: địa chỉ LAN của chính router, một thiết bị khác trên cùng switch theo IP, và một thứ chỉ đến được qua đường hầm. Làm theo thứ tự đó, vì mỗi kết quả loại trừ một lớp khác. Dùng địa chỉ thay vì tên ở lượt đầu, vì lỗi tên trộn DNS vào câu hỏi kết nối.
Mẫu câu trả lời chính là chẩn đoán. Router trả lời trong khi thiết bị cục bộ không trả lời chỉ vào chuyển mạch cục bộ hoặc tính năng lọc, không phải định tuyến. Thiết bị cục bộ trả lời trong khi phía đường hầm không trả lời chỉ vào tuyến đường hầm hoặc tường lửa từ xa. Nếu mọi thứ trả lời theo địa chỉ nhưng tên thất bại, đó là câu hỏi trình phân giải, và không việc sửa tuyến nào khắc phục được.
| What answers | What it points at |
|---|---|
| Router only | LAN-side filtering or a broken bridge |
| Router and local hosts, not remote | Tunnel route, NAT or remote firewall |
| Addresses yes, names no | DNS handed to clients by the router |
| Nothing at all | Client subnet or router LAN address changed |
Giữ bảng bên cạnh kết quả kiểm tra. Nó biến một lời phàn nàn mơ hồ thành một dòng bạn có thể hành động.
Lớp bảo mật bên trong đường chuyển tiếp
Router tiêu dùng ngày càng có tính năng giám sát theo dõi lưu lượng được chuyển tiếp, và nó chạy trên cùng đường chuyển các gói từ LAN vào đường hầm. Khi việc giám sát đó không phân loại được lưu lượng đường hầm, việc chuyển tiếp có thể khựng lại trong khi đường hầm vẫn hoạt động và router báo kết nối khỏe mạnh. Không có gì trong nhật ký VPN cho thấy điều này, vì VPN thực sự đã kết nối.
Chẩn đoán là một thí nghiệm có kiểm soát, không phải thay đổi vĩnh viễn. Ghi lại cài đặt hiện tại, tắt tính năng trong một lần kiểm tra, dựng lại đường hầm và thử một máy chủ cục bộ theo địa chỉ. Việc chuyển tiếp quay lại là bằng chứng bạn cần, và sự đánh đổi sau đó thành quyết định thay vì phỏng đoán. Nếu không có gì thay đổi, bật lại ngay và chuyển sang nguyên nhân địa chỉ.
Để tính năng bảo mật trả phí bị tắt để đường hầm tiếp tục hoạt động là sự đánh đổi phải làm có chủ đích và ghi lại. Cũng đáng hỏi liệu đường hầm có nên nằm trên thiết bị khác không, vì router phải giám sát mọi thứ và router phải chuyển tiếp mọi thứ là hai công việc khác nhau.
Nguyên nhân thứ hai: dải LAN dịch chuyển
Các bản cập nhật firmware thường xuyên đưa địa chỉ LAN về mặc định của nhà sản xuất, và một số router có công tắc chế độ rõ ràng quyết định LAN giữ dải riêng hay thừa hưởng một dải từ thiết bị phía trên. Máy khách mong đợi 192.168.8.x có thể rơi vào 10.64.0.x, và khi đó phiên SSH tới máy chủ hết hạn dù đường hầm hoàn toàn khỏe mạnh.
ipconfig /all
ip addr show
ip route get 192.168.8.20Đọc tiền tố và cổng mặc định từ bản thuê trước khi mở trang router. Hai lệnh đầu cho thấy máy khách thực sự nhận gì, và lệnh thứ ba cho thấy giao diện nào máy khách sẽ dùng cho địa chỉ cục bộ, và đó là cách một tuyến còn sót hoặc mạng con cũ tự lộ ra. Sau đó so sánh với trang LAN và chế độ router đang ở.
Nếu dải không thể quay lại, hãy cập nhật mọi đối tượng đặt tên cho nó: đặt trước DHCP, mọi tuyến tĩnh vào mạng con cũ và mọi quy tắc tường lửa mang tiền tố trước đó. Một dải xung đột với mạng con từ xa của đường hầm là biến thể tệ hơn, vì thiết bị cục bộ vẫn đến được trong khi đích từ xa bị định tuyến nhầm vào LAN một cách âm thầm.
Kết nối lại và kiểm tra lại theo thứ tự gói
Sau một trong hai thay đổi, kết nối lại đường hầm và lặp lại các bài kiểm tra theo thứ tự gói: router, máy chủ cục bộ, máy chủ từ xa, rồi tên, rồi ứng dụng. Kiểm tra ứng dụng trước sẽ che mất lớp nào còn hỏng, và việc trình duyệt thử lại với một tên đã lưu đệm có thể trông như lỗi định tuyến.
Ghi phiên bản firmware, tiền tố LAN và trạng thái tính năng giám sát bên cạnh hồ sơ VPN. Cả ba là cấu hình mà bản cập nhật tới có thể ghi đè, và hai dòng ghi chú tiết kiệm một giờ bạn vừa bỏ ra.