Como Corrigir Rotas de Túnel Dividido que Ocultam uma Sub-rede NAS Doméstica

Eva Wong

IceWhale author

Eva Wong é a Redatora Técnica e e entusiasta residente na ZimaSpace. Uma geek de longa data com paixão por homelabs e software de código aberto, ela é especialista em traduzir conceitos técnicos complexos em guias acessíveis e práticos . Eva acredita que o auto-hospedagem deve ser divertida, não intimidante. Através dos seus tutoriais, ela capacita a comunidade adesmistificar configurações de hardware , desde a construção do seu primeiro NAS até dominar os contêineres Docker., from building their first NAS to mastering Docker containers.

How to Fix Split-Tunnel Routes That Hide One Home NAS Subnet - Zima Store Online

Restaure a sub-rede NAS em falta adicionando a rota bidirecional mais específica, mantendo inalterados os caminhos de túnel dividido que estão a funcionar.

Numa VPN doméstica, uma rede NAS pode desaparecer mesmo que o túnel esteja ligado e outras sub-redes privadas permaneçam acessíveis. A causa habitual não é o serviço NAS em si, mas uma rota em falta, uma rota local mais ampla que prevalece, um prefixo de rede doméstica sobreposto, um gateway de túnel incorreto ou um caminho de retorno que não sabe como alcançar o cliente VPN. A correção mais segura é comparar uma sub-rede que funciona com a sub-rede oculta, corrigir uma decisão de rota de cada vez e verificar tanto o tráfego de ida como o de retorno antes de alargar o túnel.

Comprove Que Apenas Uma Sub-rede NAS Está em Falta

Conecte à VPN e teste três destinos separadamente: o gateway VPN, uma sub-rede privada conhecida que funciona e a sub-rede NAS que falha. Use primeiro endereços IP diretos para que o DNS, a descoberta SMB e os nomes de host não confundam o resultado do encaminhamento.

O túnel dividido envia apenas prefixos de destino selecionados através da VPN, enquanto outro tráfego segue a rota padrão habitual do cliente. Uma explicação prática de rotas divididas específicas por sub-rede mostra que um cliente pode tratar a rede VPN em si como acessível enquanto envia uma sub-rede privada vizinha para o gateway errado.

Se o gateway VPN e outra sub-rede remota funcionam, o túnel e a autenticação já estão estabelecidos. Mantenha o diagnóstico focado no prefixo NAS em falta, na preferência de rota, na política de firewall e no caminho de retorno, em vez de reconstruir toda a configuração VPN.

Compare a Rota Escolhida para um Endereço que Funciona e um que Falha

Inspecione a tabela de rotas do cliente após a ligação do túnel e consulte a rota selecionada para um endereço remoto que funciona e para um endereço NAS. Registe o prefixo de destino, o comprimento do prefixo, a métrica, a interface e o próximo salto usados para cada um.

Uma rota que existe não é automaticamente a rota que prevalece. Os sistemas operativos normalmente preferem o prefixo mais longo que corresponde, por isso uma rota local 192.168.1.0/24 pode sobrepor uma rota VPN mais ampla como 192.168.0.0/16 para os endereços exatos que se sobrepõem.

Se o endereço NAS seguir o gateway local Wi-Fi ou Ethernet, adicione ou anuncie uma rota VPN mais específica para a sub-rede NAS. Se já seguir o túnel, continue para a política VPN, encaminhamento remoto e roteamento de retorno em vez de adicionar rotas duplicadas no cliente.

Remova a Sobreposição Entre a Rede do Cliente e a Rede NAS

Compare a sub-rede privada usada pela localização atual do cliente remoto com a sub-rede privada por trás da VPN doméstica. Hotéis, escritórios, hotspots móveis e outras casas frequentemente reutilizam intervalos comuns como 192.168.0.0/24 ou 192.168.1.0/24.

Uma discussão atual do GlobalProtect descreve como uma rota dividida ampla pode entrar em conflito com a rede privada local do cliente. O cliente pode acreditar que o endereço NAS está localizado no seu Wi-Fi próximo e nunca colocar o pacote na VPN.

A correção mais limpa a longo prazo é renumerar a VLAN NAS doméstica ou a LAN remota para um prefixo menos comum. Quando a renumeração não for possível, use uma sub-rede VPN traduzida, rota específica para host, proxy de aplicação ou design VPN que resolva deliberadamente a sobreposição em vez de confiar em endereços privados ambíguos.

Featured

ZimaCube 2 NAS Pessoal Cloud para Casa

ZimaCube2

Corrija o Prefixo e o Gateway do Túnel Dividido

Revise a lista do lado do servidor de rotas incluídas ou sub-redes permitidas e confirme que contém exatamente a rede NAS com a máscara correta. Um erro tipográfico como /25 em vez de /24 pode ocultar apenas metade dos endereços pretendidos.

Um caso de VPN Cisco encontrou rotas divididas instaladas com gateway de rota errado mesmo que o pool de endereços VPN parecesse correto. Por isso, a rota operacional do cliente importa mais do que o rótulo da rota configurada.

Remova rotas obsoletas ou duplicadas, reconecte a VPN e verifique que aparece uma rota autoritativa para o prefixo NAS. Não adicione uma rota padrão através do túnel a menos que o túnel completo seja o design pretendido; corrigir uma sub-rede não deve redirecionar silenciosamente todo o tráfego da internet.

Verifique o Encaminhamento, o Firewall e a Rota de Retorno

Capture ou registe o tráfego no gateway VPN enquanto o cliente faz ping ao endereço NAS. Se o pacote entrar no túnel mas nunca sair em direção à VLAN NAS, inspecione o encaminhamento IP, as regras de firewall entre interfaces e a rota do gateway VPN para essa sub-rede.

Um guia de implementação de túnel dividido enfatiza que a instalação da rota deve ser acompanhada por política de encaminhamento e firewall correspondentes. Uma rota do lado do cliente sozinha não pode fazer o gateway VPN encaminhar tráfego para outra VLAN.

Depois, confirme que o router da sub-rede NAS tem uma rota de retorno para o pool de clientes VPN. Se as respostas usarem o gateway normal da internet, adicione a rota de retorno ou aplique NAT de origem cuidadosamente limitado no gateway VPN. Uma captura unidirecional bem-sucedida sem respostas é uma falha no caminho de retorno, não uma razão para continuar a alterar a rota do cliente.

Teste Novamente o Serviço NAS Sem Quebrar Outros Caminhos

Depois de a acessibilidade IP funcionar, teste o serviço NAS real por IP e depois por nome de host. Confirme SMB, o painel web ou a porta da aplicação necessária sem assumir que um ping bem-sucedido prova o caminho da aplicação.

O guia ZimaSpace para um caminho VPN-para-LAN em falta fornece a lição adjacente de que a conectividade do túnel não garante que todos os tipos de tráfego LAN sigam o mesmo caminho.

Termine testando a sub-rede NAS reparada, uma sub-rede remota que funcionava anteriormente e o acesso normal à internet. Mantenha a alteração apenas quando os três se comportarem conforme o esperado, a rota sobreviver à reconexão e o cliente não precisar de um comando manual após cada alteração de rede.