Jak naprawić trasy split-tunnel, które ukrywają jedną podsieć NAS w domu

Przywróć brakującą podsieć NAS, dodając najbardziej szczegółową dwukierunkową trasę, pozostawiając jednocześnie działające ścieżki split-tunnel bez zmian.

W domowej sieci VPN jedna sieć NAS może zniknąć, mimo że tunel jest połączony, a inne prywatne podsieci pozostają dostępne. Zwykle przyczyną nie jest sam serwis NAS, lecz brakująca trasa, szersza lokalna trasa, która ma pierwszeństwo, nakładający się prefiks sieci domowej, błędna brama tunelu lub ścieżka powrotna, która nie wie, jak dotrzeć do klienta VPN. Najbezpieczniejszym rozwiązaniem jest porównanie działającej podsieci z ukrytą, poprawianie decyzji trasowania krok po kroku oraz weryfikacja ruchu w obie strony przed rozszerzeniem tunelu.

Udowodnij, że Brakuje Tylko Jednej Podsiety NAS

Połącz się z VPN i przetestuj trzy cele osobno: bramę VPN, jedną znaną działającą prywatną podsieć oraz podsieć NAS, która nie działa. Najpierw użyj bezpośrednich adresów IP, aby DNS, wykrywanie SMB i nazwy hostów nie zniekształcały wyniku trasowania.

Split tunneling wysyła tylko wybrane prefiksy docelowe przez VPN, podczas gdy inny ruch podąża zwykłą domyślną trasą klienta. Praktyczne wyjaśnienie tras split-tunnel specyficznych dla podsieci pokazuje, że klient może traktować sieć VPN jako dostępną, a jednocześnie wysyłać sąsiednią prywatną podsieć do niewłaściwej bramy.

Jeśli brama VPN i inna zdalna podsieć działają, tunel i uwierzytelnianie są już ustanowione. Skup diagnozę na brakującym prefiksie NAS, preferencjach tras, polityce zapory i ścieżce powrotnej, zamiast przebudowywać całą konfigurację VPN.

Porównaj Trasę Wybraną dla Działającego i Niedziałającego Adresu

Sprawdź tabelę tras klienta po nawiązaniu tunelu i zapytaj o wybraną trasę dla jednego działającego zdalnego adresu oraz jednego adresu NAS. Zapisz prefiks docelowy, długość prefiksu, metrykę, interfejs i następny skok używany dla każdego z nich.

Trasa, która istnieje, nie jest automatycznie trasą, która ma pierwszeństwo. Systemy operacyjne zwykle preferują najdłuższy pasujący prefiks, więc lokalna trasa 192.168.1.0/24 może nadpisać szerszą trasę VPN, taką jak 192.168.0.0/16, dla dokładnie pokrywających się adresów.

Jeśli adres NAS podąża przez lokalną bramę Wi-Fi lub Ethernet, dodaj lub rozgłoś bardziej szczegółową trasę VPN dla podsieci NAS. Jeśli już podąża przez tunel, przejdź do polityki VPN, zdalnego przekazywania i trasowania powrotnego zamiast dodawać duplikaty tras klienta.

Usuń Nakładanie się Sieci Klienta i Sieci NAS

Porównaj prywatną podsieć używaną przez aktualną lokalizację zdalnego klienta z prywatną podsiecią za domowym VPN. Hotele, biura, mobilne hotspoty i inne domy często używają tych samych zakresów, takich jak 192.168.0.0/24 lub 192.168.1.0/24.

Aktualna dyskusja GlobalProtect opisuje, jak szeroka trasa split może kolidować z lokalną prywatną siecią klienta. Klient może uważać, że adres NAS znajduje się w jego pobliskiej sieci Wi-Fi i nigdy nie wysłać pakietu do VPN.

Najczystszym rozwiązaniem długoterminowym jest zmiana numeracji VLAN NAS w domu lub zdalnej sieci LAN na mniej popularny prefiks. Gdy zmiana numeracji nie jest możliwa, użyj tłumaczonej podsieci VPN, trasy specyficznej dla hosta, proxy aplikacji lub projektu VPN, który celowo rozwiązuje nakładanie się zamiast polegać na niejednoznacznych prywatnych adresach.

Featured

ZimaCube 2 Osobisty domowy NAS w chmurze

ZimaCube2

$799.00 - $2,499.00

Buy Now

Popraw Prefiks i Bramę Split-Tunnel

Przejrzyj listę tras dołączonych po stronie serwera lub dozwolonych podsieci i potwierdź, że zawiera dokładną sieć NAS z poprawną maską. Literówka, taka jak /25 zamiast /24, może ukryć tylko połowę zamierzonych adresów.

Przypadek VPN Cisco wykazał, że trasy split-tunnel były instalowane z błędną bramą trasy, mimo że pula adresów VPN wyglądała poprawnie. Dlatego operacyjna trasa klienta jest ważniejsza niż etykieta skonfigurowanej trasy.

Usuń przestarzałe lub duplikujące się trasy, ponownie połącz VPN i zweryfikuj, że pojawia się jedna autorytatywna trasa dla prefiksu NAS. Nie dodawaj domyślnej trasy przez tunel, chyba że pełne tunelowanie jest zamierzonym projektem; naprawa jednej podsieci nie powinna cicho przekierowywać całego ruchu internetowego.

Zweryfikuj Przekazywanie, Zaporę i Trasę Powrotną

Przechwyć lub zaloguj ruch na bramie VPN, gdy klient pinguję adres NAS. Jeśli pakiet wchodzi do tunelu, ale nigdy nie wychodzi w kierunku VLAN NAS, sprawdź przekazywanie IP, reguły zapory między interfejsami oraz trasę z bramy VPN do tej podsieci.

Przewodnik implementacji split-tunnel podkreśla, że instalacja trasy musi być sparowana z dopasowaną polityką przekazywania i zapory. Sama trasa po stronie klienta nie może sprawić, że brama VPN przekaże ruch do innego VLAN.

Następnie potwierdź, że router podsieci NAS ma trasę powrotną do puli klientów VPN. Jeśli odpowiedzi używają zwykłej bramy internetowej, dodaj trasę powrotną lub zastosuj starannie ograniczony source NAT na bramie VPN. Udane przechwycenie ruchu w jedną stronę bez odpowiedzi to błąd ścieżki powrotnej, a nie powód do ciągłej zmiany trasy klienta.

Przetestuj Ponownie Usługę NAS Bez Przerywania Innych Ścieżek

Po uzyskaniu łączności IP przetestuj faktyczną usługę NAS najpierw po IP, a potem po nazwie hosta. Potwierdź SMB, panel webowy lub wymagany port aplikacji, nie zakładając, że udany ping oznacza poprawną ścieżkę aplikacji.

Przewodnik ZimaSpace dotyczący brakującej ścieżki VPN-do-LAN dostarcza sąsiedniej lekcji, że łączność tunelu nie gwarantuje, iż każdy typ ruchu LAN podąża tą samą ścieżką.

Na koniec przetestuj naprawioną podsieć NAS, jedną wcześniej działającą zdalną podsieć oraz zwykły dostęp do internetu. Zachowaj zmianę tylko wtedy, gdy wszystkie trzy działają zgodnie z założeniami, trasa przetrwa ponowne połączenie, a klient nie będzie potrzebował ręcznej komendy po każdej zmianie sieci.