Чаму лакальны маршрут перамагае маршрут па змаўчанні VPN

Прынтар на стале працягвае працаваць пасля ўзняцця тунеля, а сервер у іншым офісе ціха развязаецца ў нешта лакальнае. Абедзве паводзіны вынікаюць з аднаго правіла: перамагае самы канкрэтны маршрут, а непасрэдна далучаны прэфікс — гэта самае канкрэтнае, што бывае. Звычайна гэта менавіта той дызайн, які вам патрэбны, і гэта ж тое, як дублікат прыватнага дыяпазону крадзе аддалены адрас. Чытанне выбару ядра спачатку ператварае загадкавы збой у параўнанне прэфіксаў.

Злучаны прэфікс канкрэтнейшы за маршрут па змаўчанні

Тунель звычайна ўсталёўвае маршрут па змаўчанні або набор прэфіксаў, а лакальны інтэрфейс нясе злучаны прэфікс плюс маршрут да ўсёй LAN. Паміж імі вырашае супадзенне самага доўгага прэфікса, таму прызначэнне ўнутры прэфікса LAN ніколі не дасягае тунеля. Менавіта таму прынтар, старонка адміністравання роўтара і лакальны NAS застаюцца даступнымі, пакуль VPN уключаны. Менавіта таму аддалены рэсурс унутры перакрытага дыяпазону ідзе да не таго камп'ютара.

Прыватная адрасная прастора не ўнікальная, і два сайты, якія выбіраюць адзін і той жа прэфікс, — з'ява дастаткова частая, каб яе планаваць. Калі дыяпазоны перакрываюцца, лакальны адказ прыходзіць хутка і выглядае аўтарытэтным, таму збой лёгка прачытаць як праблему ўваходу. Прызначэнне адказала, проста не тое, якое вы мелі на ўвазе.

Прачытайце выбар, які зрабіла б ядро

Спытайце ядро, які маршрут яно выкарыстае для дакладнага прызначэння, замест таго каб чытаць табліцу зверху. Затым пашукайце правілы палітыкі, якія могуць выбраць іншую табліцу. Дзве каманды адказваюць на абодва пытанні за некалькі секунд.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Першы вывад называе інтэрфейс, наступны крок і адрас крыніцы, якія выкарыстае ядро, і гэта адказ, які мае значэнне. Калі значэнне dev паказвае на лакальны мост, гэта значыць, што пакет ніколі не трапіць у тунель, што б ні сцвярджала панэль стану VPN-кліента. Адфільтраваны спіс табліц паказвае, ці трымае іншая табліца той жа прэфікс, а спіс правілаў паказвае парадак, у якім да гэтых табліц звяртаюцца. Правіла палітыкі можа накіраваць прэфікс праз пэўную табліцу нават калі галоўная табліца не згаджаецца, таму гэты парадак — частка адказу.

Лакальны доступ — асобнае дазвол

Мець маршрут не тое ж, што мець дазвол ім карыстацца. Большасць кліентаў могуць блакаваць лакальныя сеткавыя зносіны, пакуль тунель узняты, і гэтая налада — рашэнне палітыкі, а не артэфакт маршрутызацыі. Калі надзейны блізкі сэрвіс належыць да дызайну, уключыце падтрыманую опцыю лакальнага доступу, а не выдумляйце маршруты. Калі прылада ў публічным Wi-Fi, пакіньце яе выключанай.

Два ўзроўні збаўляюць па-рознаму. Заблакаваны лакальны шлях дае тайм-аўт, нават калі маршрут існуе, а перакрыты маршрут дае адказ ад не таго хоста. Каб іх адрозніць, патрэбны адзін запыт, і гэта эканоміць паўдня на зменах файрвола, а схема перасылкі апісана ў нататкі strongSwan пра перасылку.

Выпраўце перакрыццё без навалу маршрутаў да хостаў

Маршрут да хоста для аднаго адраса выглядае як выпраўленне перакрыцця і збаўляе ў той момант, калі спатрэбіцца другі адрас у тым жа дыяпазоне. Пасля дваццаці такіх ніхто не можа сказаць, які прэфікс аўтарытэтны. Трывалыя рашэнні — змена адрасацыі, дакументаваная тапалогія, якая пазбягае дубліката дыяпазону, або трансляцыя на адным канцы. Кожнае каштуе час на планаванне адзін раз, а не на абслугоўванне вечна.

Калі часовы маршрут да хоста сапраўды патрэбны, запішыце побач прычыну, уладальніка і дату, каб яго можна было пазней выдаліць. Затым праверце дакладны адрас і сэрвіс плюс публічнае прызначэнне, бо змена лакальнага доступу, якая ціха выключае з тунеля староннія праграмы, горш за першапачатковы збой. Трымайце лакальны прэфікс і аддалены прэфікс запісанымі асобна; гэтая звычка не дазваляе перадаваць працоўны лакальны ping як доказ даступнасці аддаленага офіса.