Eyni anda iki VPN klienti: standart marşrutu kim qazanır?

Eyni anda iki VPN klienti işə salmaq marşrutlaşdırma mübahisəsidir, məxfilik parametri deyil. Hansı tunel daha konkret marşruta sahibdirsə, trafiki o alır, digəri isə qoşulmuş qalır, amma boş dayanır. Korporativ şlüz o zaman şəxsi çıxışdan gələn əlaqəni görür, halbuki maşınınızdakı korporativ klient hələ də hər adapteri görür. Bu iki faktdan hansının əhəmiyyətli olduğunu qərarlaşdırmaq bütün məşğələdir.

Marşrut cədvəli bir qalib seçir

Korporativ klient işə düşməzdən əvvəl və sonra cədvəli tutun və yalnız təyinatı deyil, interfeys sütununu oxuyun. Xarici tuneldən gələn adi standart marşrutu sıxışdırmaq asandır, çünki /1 cütü /0-dan daha konkretdir. Hərfi cüt 0.0.0.0/1 və 128.0.0.0/1 bütün IPv4 fəzasını iki yarıda əhatə edir və hər hansı tək standartı üstələyir. Quraşdırıldıqdan sonra xarici tunel yenə qoşulmuş görünür və heç nə daşımır.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Siyasət əsaslı marşrutlaşdırma əsas cədvəli tamamilə üstələyə bilər, ona görə qaydaları da, marşrutları da oxuyun. İşarələnmiş trafiki başqa cədvələ göndərən qayda əsas cədvələ baxılmazdan əvvəl qazanır. Bir tətbiqin fiziki keçiddə qalması, qalan hər şeyin isə tuneldən istifadə etməsi belə mümkündür.

ip rule show

Windows bunu metriklərlə həll edir

Windows-da qalib təyinat üçün ən aşağı metrikeyə malik marşrutdur və iki klient fərqli metriklərlə standart marşrut quraşdıra bilər. Cədvəli və interfeys konfiqurasiyasını birlikdə oxuyun, çünki aşağı metrikeyə malik adapter həmişə gözlədiyiniz olmur. İnterfeys metrikeyi də təyin edən klient tək marşrut əlavə etmədən standartı dəyişə bilər. Uduzan adapter işlək qalır və sadəcə heç nə almır.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

İki çıxışı müqayisə edin və 0.0.0.0/0 sahibi olan interfeysi adlandırın. Əgər hər iki klient ona iddia edirsə, metrikeyə qərar verir, buna görə də qoşulma sırası testi maşınlar arasında ziddiyyətli görünə bilər. Əgər çıxışların heç biri standart şlüz göstərmirsə, klient tam tunel rejimində işləmir və zəncir arqumenti mənasızdır.

İki müşahidəçi, iki fərqli baxış

Uzaq şlüz xarici çıxışdan gələn bir əlaqəni, üstəgəl klientin tunelinə ötürdüyünü görür. Yerli klient adapterləri, marşrutları və başqa tunelin mövcudluğunu görür, çünki onları yaratmaq səlahiyyəti ilə işləyir. Bu baxışları ayırmaq əsas məqsəddir; klientin heç nə hiss etmədiyini iddia etmək deyil.

Klientin istədiyini saya bildiyini fərz edin və əvəzində şlüzün baxışı üçün plan qurun. Klientin kor qalmasından asılı olan dizayn bir yeniləmə ilə sınmağa bir addım qalır.

DNS və IPv6 zəncirin sızdığı yerlərdir

DNS hansı həlledici parametrinin qazandığına uyğun gedir və bu, paketlərin getdiyi yol olmaya bilər. Korporativ tuneldən çatılan korporativ həlledici dizayna uyğundur; onun xaricindən çatılan yerli həlledici isə uyğun deyil və tunelin gizlətməli olduğu adları açır. IPv6 ikinci sızmadır: iki yığımlı host tunelin yalnız IPv4 üzərindən daşıdığı təyinatlar üçün IPv6 işlətməyə davam edir. Ailələri ayrıca yoxlayın, çünki yalnız IPv4 tuneli IPv6 marşrutları və ya həllediciləri barədə heç nə demir.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Həlledicini və IPv6 marşrutunu qəsdən düzəldin, üstünə ikinci tunel yığmaq əvəzinə. İkiqat inkapsulyasiya MTU-ya da başa gəlir, ona görə zəncir qurulduqdan sonra səhifələr donanda ilk yoxlanmalı şey daha kiçik daxili MTU-dur. Tez cavab verən həlledici onun düzgün həlledici olduğuna sübut deyil.