Zašto lokalna ruta pobeđuje zadanu VPN rutu

Štampač na stolu nastavlja raditi nakon što se tunel podigne, dok se server u drugoj kancelariji tiho razrješava na nešto lokalno. Oba ponašanja dolaze iz istog pravila: najspecifičnija ruta pobeđuje, a direktno priključeni prefiks je najspecifičniji mogući. To je obično dizajn koji želite, a isto tako duplikat privatnog opsega krade udaljenu adresu. Čitanje izbora kernela prvo pretvara tajanstveni kvar u poređenje prefiksa.

Povezani prefiks je specifičniji od zadane rute

Tunel obično instalira zadanu rutu ili skup prefiksa, dok lokalni interfejs nosi povezani prefiks plus rutu do cijele LAN mreže. Između njih odlučuje podudaranje najdužeg prefiksa, pa odredište unutar LAN prefiksa nikada ne stiže do tunela. Zato štampač, administratorska stranica rutera i lokalni NAS ostaju dostupni dok je VPN aktivan. Zato i udaljeni resurs unutar opsega koji se preklapa odlazi na pogrešnu mašinu.

Privatni adresni prostor nije jedinstven, a dva lokaliteta koja biraju isti prefiks dovoljno su česta pojava da se planiraju. Kada se opsezi preklope, lokalni odgovor stiže brzo i izgleda autoritativno, pa se kvar lako pogrešno pročita kao problem s prijavom. Odredište je odgovorilo, samo ne ono koje ste mislili.

Pročitajte izbor koji bi kernel napravio

Pitajte kernel koju bi rutu koristio za tačno odredište, umjesto da čitate tabelu odozgo. Zatim potražite pravila politike koja bi mogla izabrati drugu tabelu. Dvije komande odgovaraju na oba pitanja u nekoliko sekundi.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Prvi izlaz navodi interfejs, sljedeći skok i izvornu adresu koju bi kernel koristio, i to je odgovor koji je važan. Vrijednost dev koja pokazuje na lokalni most znači da paket nikada ne ulazi u tunel, šta god tvrdi statusni panel VPN klijenta. Filtrirani spisak tabela pokazuje drži li druga tabela isti prefiks, a spisak pravila pokazuje redoslijed kojim se te tabele konsultuju. Političko pravilo može poslati prefiks kroz određenu tabelu čak i kada se glavna tabela ne slaže, pa je taj redoslijed dio odgovora.

Lokalni pristup je zasebna dozvola

Imati rutu nije isto što i imati dozvolu da je koristite. Većina klijenata može blokirati lokalnu mrežnu komunikaciju dok je tunel aktivan, a ta postavka je odluka politike, a ne artefakt rutiranja. Kada pouzdana obližnja usluga pripada dizajnu, uključite podržanu opciju lokalnog pristupa umjesto da izmišljate rute. Kada je uređaj na javnom Wi-Fi-ju, ostavite je isključenu.

Dva sloja otkazuju različito. Blokiran lokalni put daje istek vremena iako ruta postoji, dok ruta koja se preklapa daje odgovor s pogrešnog hosta. Razlikovanje zahtijeva jedan upit i štedi poslijepodne izmjena firewall pravila, a raspored prosljeđivanja opisan je u strongSwanove bilješke o prosljeđivanju.

Popravite preklapanje bez gomilanja host ruta

Host ruta za jednu adresu izgleda kao da popravlja preklapanje i pada u trenutku kada zatreba druga adresa iz istog opsega. Dvadeset takvih kasnije, niko ne može reći koji je prefiks mjerodavan. Trajna rješenja su promjena adresiranja, dokumentovana topologija koja izbjegava duplikat opsega ili prevođenje na jednom kraju. Svako košta vrijeme planiranja jednom, umjesto održavanja zauvijek.

Ako je privremena host ruta zaista potrebna, zapišite razlog, vlasnika i datum pored nje da bi se kasnije mogla ukloniti. Zatim testirajte tačnu adresu i uslugu plus javno odredište, jer promjena lokalnog pristupa koja tiho isključuje nepovezane aplikacije iz tunela gora je od prvobitnog kvara. Držite lokalni prefiks i udaljeni prefiks odvojeno zapisane; ta navika sprečava da se radni lokalni ping prenosi kao dokaz da je udaljena kancelarija dostupna.