偷偷摘套内射激情视频,久久精品99国产国产精,中文字幕无线乱码人妻,中文在线中文a,性爽19p

解決VPN路由設(shè)置不當(dāng)導(dǎo)致外網(wǎng)無法訪問

安全
本篇文章通過探究VPN客戶機只能訪問公司內(nèi)網(wǎng)而不能訪問外網(wǎng)的問題,逐步揭示因為VPN路由設(shè)置不當(dāng)而導(dǎo)致的此類原因,并通過正確設(shè)置解決無法訪問外網(wǎng)的問題。

當(dāng)VPN技術(shù)被眾多的企業(yè)所選用時,VPN路由設(shè)置就成為了一項必要環(huán)節(jié),在VPN路由設(shè)置過程中我們可能遇到很多種問題,其中無法訪問外網(wǎng)是VPN路由設(shè)置中比較常見并且十分嚴(yán)重的一個問題。其實探究原因,多數(shù)這種無法訪問外網(wǎng)的狀況是由VPN路由設(shè)置不當(dāng)而引起的,本篇文章就通過逐步探究原因來解決公司無法訪問外網(wǎng)的問題。

(一)VPN客戶機不能訪問外網(wǎng)的原因初探

我們知道,VPN客戶機是通過Internet連接到VPN服務(wù)器的,就是說通過VPN對Internet的訪問物理意義上說是可以實現(xiàn)的。那么為什么會出現(xiàn)VPN連接建立后就不能訪問外網(wǎng)的現(xiàn)象呢?出現(xiàn)了這種問題,很多用戶都知道是路由表發(fā)生了變化,因此大家都通過在VPN連接的“高級TCP/IP設(shè)置”中取消“在遠(yuǎn)程網(wǎng)絡(luò)上使用默認(rèn)網(wǎng)關(guān)”選項來達(dá)到訪問外網(wǎng)的目的。這種方法雖然表面上看來可行,覺得解決了一個VPN路由設(shè)置問題,但有所不知可能會帶來新的路由問題,甚至給公司內(nèi)網(wǎng)帶來嚴(yán)重的安全隱患。大家想一下,我們采用VPN的最初目標(biāo)是為了保證安全,結(jié)果卻可能因為使用VPN而讓整個公司網(wǎng)絡(luò)面臨外界攻擊的境地,那么這樣就背離了我們的初衷。

那么怎樣才能更好并且安全的解決這個問題?以下我就先對VPN客戶端的路由做一個初探,使大家對這一個知識點有一個較為全面地了解。我們已經(jīng)通過分析認(rèn)為是VPN路由設(shè)置問題,現(xiàn)在我們從VPN連接前后的路由表變化情況來找出問題的癥結(jié)所在。大家可以邊根據(jù)我的說明邊進(jìn)行實際操作,這樣在需要使用VPN遠(yuǎn)程訪問的時候會留下更深刻的印象。在VPN沒有連接之前,輸入route?print命令,出現(xiàn)當(dāng)前的路由表項,然后連接上VPN,再次運行route?print命令,比較前后兩次命令的區(qū)別??梢钥吹剑诿钚写翱谥羞B接后多出了幾條路由,比較重要的有兩條路由——在出現(xiàn)的結(jié)果ActiveRoutes下的第三行和第十行分別有一條(我稱為route1)0.0.0.0???0.0.0.0???150.0.1.226??150.0.1.226????1;另一條(我稱為route2)218.70.201.62??255.255.255.255??150.0.1.43??150.0.1.41??20,注意,各位網(wǎng)友的路由中部分IP也可能會略有不同。

這里route1的150.0.1.226是VPN客戶端從VPN服務(wù)器上獲得的IP地址,而route2的150.0.1.41是客戶機網(wǎng)卡的IP,218.70.201.62是VPN服務(wù)器的公網(wǎng)IP。你們還可以看出,最右側(cè)一列原來的路由metric值已經(jīng)增加了,而且高于新的路由route1的metric值,這樣原來的路由就失效了,現(xiàn)在起作用的是route1,它的metric值更低。那么到目前為止到Internet的訪問就已經(jīng)使用了新的路由route1,這條路由把數(shù)據(jù)包交給VPN的計劃程序端口,然后VPN端口的數(shù)據(jù)再發(fā)送到遠(yuǎn)方的VPN服務(wù)器(route2),這個過程后會引起不能訪問Internet上的站點,這就是前面所說的VPN連接后不能訪問外網(wǎng)的原因。

(二)如何實現(xiàn)對VPN數(shù)據(jù)包的封裝加密并安全傳輸?shù)倪^程

現(xiàn)在我們來看一下VPN客戶端的路由決策及數(shù)據(jù)包封裝的過程。眾所周知,VPN虛擬接口就是一個虛擬的點對點鏈路接口,當(dāng)VPN虛擬接口收到數(shù)據(jù)包時,它把從網(wǎng)絡(luò)層得到的數(shù)據(jù)包封裝成PPP點對點數(shù)據(jù)幀并進(jìn)行加密等操作,然后把它送到網(wǎng)關(guān),這里的網(wǎng)關(guān)正是VPN客戶端自己,所以這個被封裝的PPP點對點數(shù)據(jù)幀又被返回給本機再次處理,這次處理其實就是再次封裝的過程。

那為什么要再次封裝?由于第一次封裝的幀只能通過虛擬的VPN接口,如果要把數(shù)據(jù)通過實際的接口進(jìn)行傳輸,還必須在實際的鏈路層上進(jìn)行再次封裝才行。而在最終封裝成鏈路層數(shù)據(jù)幀之前,需要對第一次封裝成的PPP數(shù)據(jù)幀進(jìn)行其他的多級封裝。因為規(guī)范中是不能直接把PPP幀封裝在另一個鏈路層幀中的,需要在它們之間添加一些報頭,最簡單的PPTP封裝就是在PPP幀前添加了一個GRE頭和IP頭。

在封裝到網(wǎng)絡(luò)層比如IP報頭的時候,這里需要進(jìn)行一次路由決策,這是由于數(shù)據(jù)包要明確地發(fā)送到遠(yuǎn)方的VPN服務(wù)器,它將尋找一條到達(dá)遠(yuǎn)方VPN服務(wù)器的路由。在VPN連接建立時就同時創(chuàng)建一條到達(dá)VPN服務(wù)器的路由(route2),再次封裝成PPTP格式或L2TP格式的IP數(shù)據(jù)包交給這條路由指定的接口進(jìn)行處理。如果是以太網(wǎng)接口,這個數(shù)據(jù)包就加上以太網(wǎng)報頭;如果是點對點,就加上點對點鏈路報頭,發(fā)送到物理網(wǎng)絡(luò)上。在此處,route2指定的接口是150.0.1.41,即是網(wǎng)卡接口,所以它將加上以太網(wǎng)幀頭,然后發(fā)送到物理網(wǎng)絡(luò)上去。

(三)對于使用VPN不能訪問外網(wǎng)的解決方案

上面的三段我只想說明一點:使用VPN連接,必須讓通過VPN連接傳輸?shù)臄?shù)據(jù)包先到達(dá)VPN虛擬接口進(jìn)行處理,如果繞過了VPN虛擬接口不處理的話,由于這個VPN連接的數(shù)據(jù)包沒有經(jīng)過加密措施就直接發(fā)送到了Internet上,那么你的VPN安全就根本沒有保證。

現(xiàn)在我們來看一下,在VPN連接后此時VPN客戶端的路由表。默認(rèn)路由沒有變,添加了一條VPN端口IP對應(yīng)的分類網(wǎng)絡(luò)路由條目:150.0.0.0?????255.255.0.0????150.0.1.226????150.0.1.226????1。假設(shè)現(xiàn)在通過VPN連接訪問遠(yuǎn)程公司內(nèi)網(wǎng)的192.168.0.0/24子網(wǎng),根據(jù)上面的路由表,匹配的路由只有第一條默認(rèn)路由。默認(rèn)VPN路由設(shè)置是通過本地網(wǎng)卡到達(dá)網(wǎng)關(guān)后直接發(fā)送到192.168.0.0/24去的,因為Internet上的路由器不會轉(zhuǎn)發(fā)到達(dá)私有網(wǎng)絡(luò)的數(shù)據(jù)包,這樣就可以達(dá)到外界不能訪問公司內(nèi)網(wǎng)、保證內(nèi)網(wǎng)安全的目的。因此選中了“在遠(yuǎn)程網(wǎng)絡(luò)上使用默認(rèn)網(wǎng)關(guān)”選項,采用了默認(rèn)路由,就不會出現(xiàn)前面所說的路由問題和安全問題。
 

【編輯推薦】

  1. 企業(yè)VPN應(yīng)用簡單概要
  2. 企業(yè)VPN應(yīng)用簡單概要
  3. 簡析三種VPN部署模式
  4. 八種企業(yè)使用VPN的優(yōu)勢
  5. 哪些用戶適合采用VPN進(jìn)行網(wǎng)絡(luò)連接
責(zé)任編輯:張啟峰 來源: 中國IT實驗室
相關(guān)推薦

2009-01-16 09:06:00

2010-08-26 08:56:34

2009-12-02 13:30:30

2009-03-30 15:11:10

2010-08-25 14:21:50

2009-11-24 19:29:21

2009-04-23 15:57:55

網(wǎng)關(guān)配置網(wǎng)絡(luò)不通

2009-12-22 15:04:11

路由器無法撥號故障

2016-03-22 09:38:36

HTTP網(wǎng)絡(luò)協(xié)議

2011-08-23 09:10:25

路由路由策略

2017-06-08 14:50:54

DNS緩存網(wǎng)頁

2009-05-18 09:31:00

2011-07-21 10:44:39

組策略

2009-11-30 10:49:18

2009-06-12 10:21:26

掩碼地址設(shè)置網(wǎng)絡(luò)訪問

2013-11-13 10:16:35

局域網(wǎng)共享文件

2010-09-28 10:08:30

無線網(wǎng)路訪問故障

2010-01-07 13:38:09

交換機故障

2012-04-12 15:40:01

電信

2010-12-27 16:18:59

本地元數(shù)據(jù)庫
點贊
收藏

51CTO技術(shù)棧公眾號