Per què una ruta local guanya la ruta per defecte de la VPN

La impressora de l'escriptori continua funcionant després que el túnel s'aixequi, mentre que un servidor de l'altra oficina es resol en silenci cap a una cosa local. Els dos comportaments vénen de la mateixa regla: guanya la ruta més específica, i un prefix connectat directament és tan específic com pot ser. Normalment aquest és el disseny que vols, i també és així com un rang privat duplicat roba una adreça remota. Llegir primer l'elecció del nucli converteix una fallada misteriosa en una comparació de prefixos.

Un prefix connectat és més específic que una ruta per defecte

Un túnel normalment instal·la una ruta per defecte o un conjunt de prefixos, mentre que una interfície local porta un prefix connectat més una ruta a tota la LAN. La coincidència del prefix més llarg decideix entre elles, així que una destinació dins del prefix de la LAN no arriba mai al túnel. Per això una impressora, la pàgina d'administració d'un encaminador i un NAS local continuen sent accessibles mentre la VPN és activa. També per això un recurs remot dins d'un rang solapat va a la màquina equivocada.

L'espai d'adreces privades no és únic, i que dos llocs triïn el mateix prefix és prou habitual per planificar-ho. Quan els rangs se solapen, la resposta local arriba de pressa i sembla autoritària, així que la fallada es llegeix fàcilment com un problema d'inici de sessió. La destinació sí que va respondre, només que no la que volies.

Llegeix l'elecció que faria el nucli

Pregunta al nucli quina ruta faria servir per a la destinació exacta en lloc de llegir la taula des de dalt. Després busca regles de política que puguin triar una altra taula. Dues ordres responen les dues preguntes en uns segons.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

La primera sortida anomena la interfície, el següent salt i l'adreça d'origen que faria servir el nucli, i aquesta és la resposta que importa. Un valor dev que apunta al pont local vol dir que el paquet no entra mai al túnel, digui el que digui el panell d'estat del client VPN. El llistat filtrat de taules mostra si una altra taula conté el mateix prefix, i la llista de regles mostra l'ordre en què es consulten aquestes taules. Una regla de política pot enviar un prefix per una taula concreta fins i tot quan la taula principal no hi està d'acord, així que aquest ordre forma part de la resposta.

L'accés local és un permís a part

Tenir una ruta no és el mateix que tenir permís per fer-la servir. La majoria de clients poden bloquejar la comunicació de xarxa local mentre el túnel és actiu, i aquest paràmetre és una decisió de política, no un artefacte d'encaminament. Quan un servei proper de confiança forma part del disseny, activa l'opció d'accés local admesa en lloc d'inventar rutes. Quan el dispositiu és en un Wi-Fi públic, deixa-la desactivada.

Les dues capes fallen de manera diferent. Un camí local bloquejat produeix un temps d'espera tot i que la ruta existeix, mentre que una ruta solapada produeix una resposta de l'amfitrió equivocat. Distingir-les costa una consulta i estalvia una tarda de canvis de tallafocs, i la disposició del reenviament es descriu a les notes de reenviament de strongSwan.

Arregla un solapament sense acumular rutes d'amfitrió

Una ruta d'amfitrió per a una adreça sembla que arregla un solapament i falla en el moment que cal una segona adreça del mateix rang. Vint d'aquestes més tard, ningú no pot dir quin prefix és autoritatiu. Les solucions duradores són un canvi d'adreçament, una topologia documentada que eviti el rang duplicat o una traducció en un extrem. Cadascuna costa temps de planificació un cop en lloc de manteniment per sempre.

Si una ruta d'amfitrió temporal és realment necessària, anota-hi al costat el motiu, el propietari i la data perquè es pugui retirar més endavant. Després prova l'adreça i el servei exactes més una destinació pública, perquè un canvi d'accés local que exclogui en silenci aplicacions no relacionades del túnel és pitjor que la fallada original. Mantingues el prefix local i el prefix remot escrits per separat; aquest hàbit evita que un ping local que funciona es faci passar com a prova que l'oficina remota és accessible.