Waarom 'n plaaslike roete die VPN-standaardroete klop

'n Drukker op die lessenaar bly werk nadat die tonnel opkom, terwyl 'n bediener by die ander kantoor stilweg na iets plaasliks oplos. Albei gedrag kom van dieselfde reël: die mees spesifieke roete wen, en 'n direk gekoppelde voorvoegsel is so spesifiek soos dit kom. Dit is gewoonlik die ontwerp wat jy wil hê, en dit is ook hoe 'n duplikaat privaat reeks 'n afgeleë adres steel. Om eers die kernel se keuse te lees, verander 'n raaiselagtige fout in 'n voorvoegselvergelyking.

'n Gekoppelde voorvoegsel is meer spesifiek as 'n standaardroete

'n Tonnel installeer gewoonlik 'n standaardroete of 'n stel voorvoegsels, terwyl 'n plaaslike koppelvlak 'n gekoppelde voorvoegsel plus 'n roete na die hele LAN dra. Langste-voorvoegsel-passing besluit tussen hulle, so 'n bestemming binne die LAN-voorvoegsel bereik nooit die tonnel nie. Dit is waarom 'n drukker, 'n router se administrasiebladsy en 'n plaaslike NAS bereikbaar bly terwyl die VPN op is. Dit is ook waarom 'n afgeleë hulpbron binne 'n oorvleuelende reeks na die verkeerde masjien gaan.

Privaat adresruimte is nie uniek nie, en twee terreine wat dieselfde voorvoegsel kies, is algemeen genoeg om voor te beplan. Wanneer die reekse oorvleuel, kom die plaaslike antwoord vinnig en lyk gesaghebbend, so die fout word maklik as 'n aanmeldprobleem verkeerd gelees. Die bestemming het wel geantwoord, net nie die een wat jy bedoel het nie.

Lees die keuse wat die kernel sou maak

Vra die kernel watter roete dit vir die presiese bestemming sou gebruik eerder as om die tabel van bo af te lees. Soek dan na beleidsreëls wat 'n ander tabel kan kies. Twee opdragte beantwoord albei vrae in 'n paar sekondes.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Die eerste uitset noem die koppelvlak, die volgende sprong en die bronadres wat die kernel sou gebruik, en dit is die antwoord wat saak maak. 'n Waarde van dev wat na die plaaslike brug wys, beteken die pakkie gaan nooit in die tonnel in nie, wat die VPN-kliënt se statuspaneel ook al beweer. Die gefiltreerde tabellys wys of 'n ander tabel dieselfde voorvoegsel hou, en die reëllys wys die orde waarin daardie tabelle geraadpleeg word. 'n Beleidsreël kan 'n voorvoegsel deur 'n spesifieke tabel stuur selfs wanneer die hooftabel verskil, so daardie orde is deel van die antwoord.

Plaaslike toegang is 'n aparte toestemming

Om 'n roete te hê is nie dieselfde as om dit te mag gebruik nie. Die meeste kliënte kan plaaslike netwerkkommunikasie blokkeer terwyl die tonnel op is, en daardie instelling is 'n beleidsbesluit eerder as 'n roetering-artefak. Wanneer 'n betroubare nabye diens in die ontwerp hoort, aktiveer die ondersteunde plaaslike-toegang-opsie eerder as om roetes te bedink. Wanneer die toestel op openbare Wi-Fi is, laat dit af.

Die twee lae faal verskillend. 'n Geblokkeerde plaaslike pad gee 'n tydsverloop selfs al bestaan die roete, terwyl 'n oorvleuelende roete 'n antwoord van die verkeerde gasheer gee. Om hulle te onderskei neem een navraag en spaar 'n middag se firewall-veranderings, en die aanstuur-reëling word in strongSwan se aanstuur-notas beskryf.

Los 'n oorvleueling op sonder 'n oormaat host-roetes

'n Host-roete vir een adres lyk of dit 'n oorvleueling oplos, en dit misluk die oomblik wanneer 'n tweede adres in dieselfde reeks nodig word. Twintig daarvan later kan niemand sê watter voorvoegsel gesaghebbend is nie. Die duursame oplossings is 'n verandering van adressering, 'n gedokumenteerde topologie wat die duplikaat-reeks vermy, of vertaling aan een kant. Elkeen kos een keer beplanningstyd eerder as onderhoud vir altyd.

As 'n tydelike host-roete werklik nodig is, teken die rede, die eienaar en die datum daarby aan sodat dit later verwyder kan word. Toets dan die presiese adres en diens plus 'n openbare bestemming, want 'n plaaslike-toegang-verandering wat stilweg onverwante toepassings van die tonnel uitsluit, is erger as die oorspronklike fout. Hou die plaaslike voorvoegsel en die afgeleë voorvoegsel afsonderlik neergeskryf; daardie gewoonte keer dat 'n werkende plaaslike ping rondgedra word as bewys dat die ander kantoor bereikbaar is.