Bộ điều hợp VPN hiển thị /32: không có nghĩa chỉ một đích đến

Các bộ điều hợp hiển thị 255.255.255.255, và kết luận thường là VPN chỉ tới được đúng một địa chỉ. Cách đọc đó lẫn lộn địa chỉ của chính máy khách với tập đích được định tuyến qua đường hầm. Trên giao diện điểm-điểm hoặc giao diện được định tuyến, hai thứ này là hai đối tượng khác nhau, và chỉ một trong chúng giới hạn khả năng tới. Huyền thoại tồn tại vì mặt nạ trông giống mặt nạ mạng con mà người ta học trên Ethernet.

Huyền thoại: mặt nạ máy chủ nghĩa là một máy chủ duy nhất tới được

Một phép gán /32 cho giao diện biết địa chỉ nào thuộc đầu này của liên kết, và trên liên kết điểm-điểm đó là toàn bộ ý nghĩa của nó. Địa chỉ của đối tác là một trường riêng, và các tuyến nói điều gì nằm bên kia đối tác lại cũng riêng. Không gì trong mặt nạ mô tả mạng từ xa, vì mặt nạ không phải nơi mô tả các mạng từ xa. Đọc nó như một giới hạn tới được cũng giống như đọc số nhà của chính mình thành danh sách mọi địa chỉ mà bạn được phép ghé thăm.

Sự nhầm lẫn có gốc rễ thật: trên Ethernet, mặt nạ máy chủ thực sự có nghĩa một địa chỉ duy nhất trên phân đoạn đó. Đường hầm không phải phân đoạn Ethernet, và điều gì đi qua nó do bảng định tuyến của máy khách quyết định, không phải mặt nạ. Vì thế cùng một /32 có thể đứng trước cả một trung tâm dữ liệu.

Đọc địa chỉ và tuyến như những đối tượng riêng

In giao diện và bảng cùng nhau, rồi đọc chúng như hai câu trả lời cho hai câu hỏi. Địa chỉ trả lời đầu này là ai; các tuyến trả lời lưu lượng được đi đâu. Câu hỏi thứ ba, cổng cho phép những đích nào, hoàn toàn không thấy trên máy khách. Tài liệu tham chiếu địa chỉ của iproute2 mô tả riêng các trường địa chỉ cục bộ, đối tác và tuyến tiền tố chính vì lý do này.

ip addr show tun0
ip route show
ip route get 10.60.5.10

Trên Windows cũng có sự tách biệt đó giữa danh sách địa chỉ và bảng định tuyến, và lệnh tra cứu là cách nhanh nhất để xem cái nào thắng cho một đích cụ thể. Nếu tra cứu trả về giao diện đường hầm, máy khách sẽ gửi gói đến đó. Nếu trả về bộ điều hợp vật lý, máy khách không bao giờ hỏi VPN, và không quyền nào phía máy chủ thay đổi được điều đó. Hãy kiểm tra đích bạn thực sự cần, không phải một địa chỉ công cộng chung chung.

Get-NetIPAddress -InterfaceAlias "VPN"
Find-NetRoute -RemoteIPAddress 10.60.5.10

Dừng lại nếu tra cứu chỉ vào giao diện sai. Đó là vấn đề định tuyến của máy khách, và nó được sửa trên máy khách.

Vì sao mở rộng mặt nạ thường làm mọi thứ tệ hơn

Đổi phép gán thành /24 để trông giống LAN văn phòng có thể tạo ra một tiền tố trên liên kết: nhân hệ điều hành giờ tin rằng toàn bộ /24 gắn trực tiếp vào giao diện đường hầm. Lưu lượng đến các địa chỉ lẽ ra phải định tuyến qua cổng khi đó được gửi như thể có một hàng xóm trên liên kết. Kết quả là một hố đen trông giống sự cố máy chủ.

Nó cũng che giấu vấn đề thật, đó là một tuyến thiếu hoặc một quyền thiếu trên cổng. Không cái nào trong hai được tạo ra bởi mặt nạ rộng hơn, và cả hai vẫn tồn tại sau thay đổi. Nếu thiết kế cần tiền tố lớn hơn trên giao diện, đó là quyết định cho mô hình giao diện đang dùng, được đưa ra với tài liệu trong tay. Sao chép mặt nạ từ ảnh chụp màn hình của sản phẩm khác không phải là quyết định đó.

Nếu thiếu tuyến tiền tố từ xa, hãy sửa việc cấp phát của nó. Nếu nó có mà kết nối vẫn bị từ chối, mặt nạ chưa bao giờ là chẩn đoán.

Khi tuyến đúng mà luồng vẫn thất bại

Một tuyến đúng chỉ chứng minh máy khách sẽ gửi gói. Cổng vẫn phải chấp nhận đích, đường quay về phải tồn tại cho địa chỉ được cấp, và dịch vụ phải cho phép luồng. Hãy kiểm tra ba điều này riêng rẽ: tra cứu trên máy khách, phạm vi được phép của cổng và một yêu cầu tới một máy chủ cần thiết. Việc xác thực thành công trước khi cả ba sẵn sàng là bình thường, và đó là lý do một máy khách đã kết nối vẫn có thể không tới được đâu.

ping -c1 10.60.5.10
traceroute -n 10.60.5.10
curl -sv https://app.internal.example/ -o /dev/null

Giữ các đối tượng mạng và quyền nhóm bên chủ sở hữu của chúng trên dịch vụ do thiết bị quản lý. Điều máy khách được bảo phải tới và điều nó được phép dùng là những thiết lập khác nhau, thường ở màn hình khác nhau. Đổi một cái và kiểm tra cái kia là cách một phiếu yêu cầu nảy giữa hai nhóm.

Huyền thoại cần cho nghỉ hưu là mặt nạ là giới hạn khả năng tới. Đọc địa chỉ, các tuyến và chính sách cổng như ba sự thật riêng, và một /32 thôi trông giống hạn chế và bắt đầu trông giống một phép gán đường hầm bình thường.