عميلا VPN في آن واحد: من يفوز بالمسار الافتراضي؟

تشغيل عميلَي VPN في آنٍ واحد مسألة توجيه، وليس إعدادًا للخصوصية. أي نفق يملك المسار الأكثر تحديدًا يتلقى حركة المرور، ويبقى الآخر متصلًا لكنه خامل. ترى البوابة المؤسسية عندئذ اتصالًا قادمًا من المخرج الشخصي، بينما لا يزال عميل الشركة على جهازك يرى كل محوّل. إن تحديد أي من هاتين الحقيقتين يهم هو جوهر المسألة.

جدول التوجيه يختار فائزًا واحدًا

التقط الجدول قبل بدء عميل الشركة وبعده، واقرأ عمود الواجهة بدلًا من الوجهة وحدها. المسار الافتراضي العادي من النفق الخارجي سهل الإزاحة، لأن زوج /1 أكثر تحديدًا من /0. الزوج الحرفي 0.0.0.0/1 و 128.0.0.0/1 يغطي فضاء IPv4 كله بنصفين ويتغلب على أي مسار افتراضي منفرد. وبعد تثبيته، يظل النفق الخارجي يظهر متصلًا ولا يحمل شيئًا.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

يمكن للتوجيه القائم على السياسة أن يتجاوز الجدول الرئيسي بالكامل، فاقرأ القواعد إلى جانب المسارات. القاعدة التي ترسل حركة موسومة إلى جدول آخر تفوز قبل الرجوع إلى الجدول الرئيسي. وهكذا يمكن لتطبيق واحد أن يبقى على الرابط الفيزيائي بينما يستخدم كل شيء آخر النفق.

ip rule show

ويندوز يحسم الأمر بالمقاييس

في ويندوز، الفائز هو المسار ذو أدنى مقياس للوجهة، ويمكن لعميلين تثبيت مسار افتراضي بمقياسين مختلفين. اقرأ الجدول وإعداد الواجهة معًا، لأن المحوّل ذا المقياس الأقل ليس دائمًا ما تتوقعه. والعميل الذي يضبط أيضًا مقياس واجهة يمكنه تحريك الافتراضي دون إضافة مسار واحد. أما المحوّل الخاسر فيبقى قائمًا ولا يتلقى شيئًا ببساطة.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

قارن المخرجين وسمِّ الواجهة التي تملك 0.0.0.0/0. إذا طالب بها العميلان معًا، فالمقياس هو الذي يقرر، ولهذا قد يبدو اختبار ترتيب الاتصال غير متسق بين الأجهزة. وإذا لم يُظهر أي من المخرجين بوابة افتراضية، فالعميل لا يعمل بنفق كامل وحجة السلسلة ساقطة.

رأيان، رؤيتان مختلفتان

ترى البوابة البعيدة اتصالًا واحدًا قادمًا من المخرج الخارجي، إضافة إلى ما يمرره العميل إلى نفقها. ويرى العميل المحلي المحوّلات والمسارات ووجود نفق آخر، لأنه يعمل بصلاحيات إنشائها. الفصل بين هاتين الرؤيتين هو المقصد؛ أما الادعاء بأن العميل لا يمكنه الملاحظة فليس كذلك.

افترض أن العميل يستطيع تعداد ما يشاء، وخطّط بدلًا من ذلك لرؤية البوابة. أي تصميم يعتمد على بقاء العميل أعمى يبعد عن الانهيار بتحديث واحد.

DNS وIPv6 هما حيث تتسرب السلسلة

يتبع DNS إعداد المُحلِّل الفائز، وهذا ليس بالضرورة المسار الذي تسلكه الحزم. المُحلِّل المؤسسي الذي يُبلغ عبر النفق المؤسسي متسق مع التصميم؛ أما المُحلِّل المحلي الذي يُبلغ خارجه فليس كذلك، وهو يكشف أسماء كان النفق يهدف إلى إخفائها. IPv6 هو التسرب الثاني: مضيف ثنائي الحزمة يواصل استخدام IPv6 نحو وجهات لا يحملها النفق إلا عبر IPv4. افحص العائلتين منفصلتين، لأن نفق IPv4 فقط لا يقول شيئًا عن مسارات IPv6 أو مُحلِّلاتها.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

أصلح المُحلِّل ومسار IPv6 عمدًا بدلًا من تكديس نفق ثانٍ فوقه. التغليف المزدوج يكلف أيضًا MTU، لذا فـ MTU الداخلي الأصغر هو أول ما يُجرَّب عندما تتعطل الصفحات بعد قيام السلسلة. المُحلِّل الذي يجيب بسرعة ليس دليلًا على أنه المُحلِّل الصحيح.