لماذا يتفوق المسار المحلي على المسار الافتراضي في VPN

تظل الطابعة على المكتب تعمل بعد أن يرتفع النفق، في حين يُحلّ خادم في المكتب الآخر بهدوء إلى شيء محلي. ينبع السلوكان من القاعدة نفسها: المسار الأكثر تحديدًا يفوز، والبادئة المتصلة مباشرة هي الأكثر تحديدًا على الإطلاق. هذا هو التصميم الذي تريده عادةً، وهو أيضًا كيف يسرق نطاق خاص مكرر عنوانًا بعيدًا. وقراءة اختيار النواة أولًا تحوّل فشلًا غامضًا إلى مقارنة بادئات.

البادئة المتصلة أكثر تحديدًا من المسار الافتراضي

يثبت النفق عادةً مسارًا افتراضيًا أو مجموعة بادئات، بينما تحمل الواجهة المحلية بادئة متصلة إضافة إلى مسار إلى الشبكة المحلية بأكملها. ويُحسم الأمر بينهما بمطابقة أطول بادئة، لذا لا تصل الوجهة داخل بادئة الشبكة المحلية إلى النفق أبدًا. ولهذا تبقى الطابعة وصفحة إدارة الموجّه ووحدة تخزين محلية قابلة للوصول أثناء عمل VPN. ولهذا أيضًا يذهب مورد بعيد داخل نطاق متداخل إلى الجهاز الخطأ.

مساحة العناوين الخاصة ليست فريدة، واختيار موقعين للبادئة نفسها شائع بما يكفي للتخطيط له. وعندما تتداخل النطاقات يصل الجواب المحلي سريعًا ويبدو موثوقًا، فيسهل قراءة الفشل خطأً كمشكلة تسجيل دخول. لقد أجابت الوجهة فعلًا، لكن ليست تلك التي قصدتها.

اقرأ الاختيار الذي ستتخذه النواة

اسأل النواة عن المسار الذي ستستخدمه للوجهة الدقيقة بدلًا من قراءة الجدول من أعلاه. ثم ابحث عن قواعد سياسة قد تختار جدولًا آخر. أمران يجيبان عن السؤالين في بضع ثوانٍ.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

يسمّي الناتج الأول الواجهة والقفزة التالية وعنوان المصدر الذي ستستخدمه النواة، وهو الجواب المهم. وقيمة dev التي تشير إلى الجسر المحلي تعني أن الحزمة لا تدخل النفق أبدًا، مهما ادّعت لوحة حالة عميل VPN. وتعرض قائمة الجداول المفلترة ما إذا كان جدول آخر يحمل البادئة نفسها، وتعرض قائمة القواعد الترتيب الذي تُستشار به تلك الجداول. يمكن لقاعدة سياسة أن ترسل بادئة عبر جدول محدد حتى حين يخالف الجدول الرئيسي، لذا فإن ذلك الترتيب جزء من الجواب.

الوصول المحلي إذن منفصل

وجود مسار ليس مثل السماح باستخدامه. يمكن لمعظم العملاء حظر اتصال الشبكة المحلية أثناء عمل النفق، وهذا الإعداد قرار سياسة لا أثر من آثار التوجيه. وعندما تكون خدمة قريبة موثوقة جزءًا من التصميم، فعّل خيار الوصول المحلي المدعوم بدلًا من اختراع مسارات. وعندما يكون الجهاز على شبكة واي فاي عامة، فاتركه معطلًا.

تختلف الطبقتان في طريقة الفشل. المسار المحلي المحظور ينتج مهلة رغم وجود المسار، بينما ينتج المسار المتداخل جوابًا من مضيف خطأ. والتمييز بينهما يكلّف استعلامًا واحدًا ويوفر بعد ظهر كامل من تعديلات جدار الحماية، ويُوصف ترتيب إعادة التوجيه في ملاحظات strongSwan حول إعادة التوجيه.

أصلح التداخل دون تكديس مسارات المضيف

يبدو أن مسار المضيف لعنوان واحد يصلح التداخل، ويفشل في اللحظة التي تحتاج فيها عنوانًا ثانيًا في النطاق نفسه. وبعد عشرين منها، لا يستطيع أحد أن يقول أي بادئة هي الموثوقة. الحلول الدائمة هي تغيير العنونة، أو طوبولوجيا موثّقة تتجنب النطاق المكرر، أو ترجمة عند أحد الطرفين. وكل منها يكلّف وقت تخطيط مرة واحدة بدلًا من صيانة أبدية.

وإن كان مسار مضيف مؤقت مطلوبًا فعلًا، فسجّل السبب والمالك والتاريخ بجانبه كي يمكن إزالته لاحقًا. ثم اختبر العنوان والخدمة بدقة إضافة إلى وجهة عامة، لأن تغييرًا في الوصول المحلي يستبعد بهدوء تطبيقات غير ذات صلة من النفق أسوأ من العطل الأصلي. واحفظ البادئة المحلية والبادئة البعيدة مكتوبتين منفصلتين؛ فهذه العادة تمنع تناقل بينغ محلي ناجح كدليل على أن المكتب البعيد يمكن الوصول إليه.