Sao chép /32 của tunnel sẽ không định tuyến mạng con của văn phòng
Địa chỉ VPN cấp cho bộ điều hợp mô tả liên kết, không phải đích đến. Thêm tiền tố tài nguyên vào hồ sơ và để mặc tuyến mặc định.
VPN kết nối, giao diện hiển thị địa chỉ với mặt nạ ba mươi hai bit, và máy chủ văn phòng vẫn không thể truy cập. Bước tiếp theo thường là dùng lại mặt nạ đó trong một tuyến, theo lý thuyết rằng giao diện mô tả những gì tunnel có thể chạm tới. Không phải vậy. Địa chỉ đó mô tả đầu cục bộ của một liên kết điểm-điểm, và đích bạn quan tâm nằm ở một tiền tố khác phía bên kia.
Hai thứ khác nhau đang bị nhầm lẫn: địa chỉ mà tunnel đã cấp cho bạn, và mạng bạn muốn chạm tới qua nó.
Hai địa chỉ, hai nhiệm vụ
Trong tunnel điểm-điểm, địa chỉ của máy khách thường là một địa chỉ máy chủ duy nhất vì chỉ có đúng một đối tác ở đầu kia của liên kết. Không có phân đoạn chia sẻ và không có ARP, nên một mặt nạ trông vô lý trên Ethernet lại hoàn toàn bình thường ở đây.
Tiền tố đích là sự thật về mạng văn phòng, không phải về tunnel. Nếu bạn cần một máy chủ, tuyến là tuyến máy chủ cho máy chủ đó. Nếu bạn cần toàn bộ mạng con của văn phòng, tuyến là mạng con. Không câu trả lời nào đọc được từ giao diện, và chọn một cái vì nó xuất hiện cạnh địa chỉ tunnel là cách một cấu hình đang hoạt động bị phá vỡ.
| What you need to reach | What to install |
|---|---|
| One server, nothing else | A host route for that address |
| The office subnet | A route for the subnet prefix |
| Everything in the private space | Only if the requirement says so, and only with the owner's approval |
Hàng thứ ba đó là nơi sự lạc quan trở thành gián đoạn. Định tuyến toàn bộ dải riêng vào một tunnel chỉ phục vụ một địa điểm sẽ đẩy lưu lượng không liên quan vào một đường không thể chuyển tới, và các lỗi phát sinh trông giống VPN hỏng hơn là tuyến quá rộng.
Chọn tiền tố từ yêu cầu
Viết yêu cầu thành một câu trước khi chạm vào hồ sơ: những máy chủ nào phải truy cập được, và tiền tố hẹp nhất bao phủ chúng là gì? Một máy chủ là tuyến máy chủ. Một mạng con là tuyến mạng con. Một dải mạng con là bản tóm tắt, và bản tóm tắt là lời hứa rằng mọi địa chỉ bên trong đều truy cập được, điều hiếm khi đúng.
Sau đó đối chiếu con số với những gì văn phòng thực sự dùng. Sao chép một tiền tố từ tin nhắn trò chuyện mà không xác nhận với kế hoạch địa chỉ của địa điểm là cách một tuyến cuối cùng trỏ tới mạng con mà không ai sở hữu.
Cũng nhớ rằng tuyến là đường đi, không phải quyền. Cổng vẫn quyết định máy khách của bạn có được dùng đích hay không, và một dịch vụ vẫn có thể từ chối bạn. Cài tuyến đúng cách đưa gói tin tới đó và không trả lời gì về việc cấp quyền.
Thêm vào hồ sơ, đừng bao giờ thay thế nó
Các tuyến trong hồ sơ NetworkManager là thuộc tính đa giá trị, và khác biệt giữa đặt và thêm là một ký tự. Dùng dạng cộng để thêm một mục và giữ mọi thứ đã lưu.
nmcli connection modify uuid 11111111-2222-4333-8444-555555555555 \
+ipv4.routes "10.40.20.9/32"Không có dấu cộng, việc gán thay thế toàn bộ danh sách. Trên hồ sơ đã mang nhiều tiền tố, điều đó âm thầm xóa những cái đang hoạt động, và triệu chứng đến sau đó như một dịch vụ từng truy cập được từ máy tính xách tay này.
Dùng UUID thay vì tên. Tên bị trùng sau khi khôi phục, và kết nối bạn đang sửa có thể không phải là kết nối đang mang lưu lượng của bạn. Trước tiên hãy kiểm tra xem đã có mục giống hệt chưa, vì thêm bản trùng thì lộn xộn ngay cả khi vô hại.
Tài liệu tham chiếu thuộc tính tuyến ghi lại đích, bước nhảy tiếp theo tùy chọn, số đo và cú pháp thuộc tính cho phiên bản đã cài. Đọc nó trước khi thêm bước nhảy tiếp theo, vì việc có cần hay không phụ thuộc vào tích hợp và cấu trúc liên kết, và đoán từ địa chỉ đầu tiên trong danh sách giao diện không phải là một phương pháp.
Tuyến mặc định và DNS là những quyết định riêng
Adding an office prefix says nothing about where the rest of your traffic goes. If policy requires ordinary internet traffic to stay outside the tunnel, that is the ipv4.never-default decision, and it belongs to whoever owns the connection policy rather than to whoever is fixing one unreachable server.
Các tuyến tự động là thứ khác không nên bị làm phiền một cách tùy tiện. Kìm hãm chúng để giải quyết một mục bị thiếu có thể xóa một vài mục đang hoạt động, và người đề xuất điều đó thường đang nhìn một hồ sơ khác với các push khác.
DNS có đường đi riêng và những lỗi riêng. Một tên được phân giải thành địa chỉ đúng qua trình phân giải sai, hoặc một trình phân giải không thể trả lời cho vùng riêng, sẽ trông giống vấn đề định tuyến trong khi tuyến hoàn hảo. Kiểm tra địa chỉ và tên riêng rẽ, rồi quyết định lớp nào thực sự đã hỏng.
Kiểm chứng những gì đã áp dụng
Một sửa đổi đã lưu không phải là sửa đổi đã áp dụng. Kết nối lại qua vòng đời được quản lý hỗ trợ, sau đó xem tuyến thực tế cho đích dự định và các quy tắc chính sách xác định bảng nào được tra cứu.
Nếu tiền tố có ở đó và kết nối vẫn hỏng, bạn đã chuyển sang vấn đề khác: chọn địa chỉ nguồn, tuyến quay về ở đầu xa, hoặc một dịch vụ từ chối máy khách của bạn. Mỗi thứ đó là nơi tốt hơn để xem xét so với hồ sơ bạn đã sửa.