VPN gwestai a VPN gwesteiwr: pa lwybr sy’n ennill mewn gwirionedd

Mae dau gleient yn rhedeg ar unwaith, pob un yn sicr ei fod yn berchen ar y llwybr diofyn, ac mae’r symptom yn cyrraedd fel rhywbeth rhyfedd: mae un cymhwysiad gwestai yn gweithio, mae un arall yn datrys i’r lle anghywir. Gall VPN y tu mewn i westai a VPN ar y gwesteiwr gydfodoli, ond dim ond pan fydd y llwybr allanol a’r polisi mewnol yn cytuno pwy sy’n cario beth. Nid yw cychwyn y ddau yn creu cadwyn ynddo’i hun. Cofnodwch yr atodiad yn gyntaf, yna newidiwch un peth ar y tro.

Cofnodwch atodiad y gwestai yn gyntaf

Mae’r gwestai yn cyrraedd ei weinydd VPN trwy ba bynnag lwybr a roddodd yr hypervisor iddo: NAT y tu ôl i’r gwesteiwr, pont i’r segment ffisegol, neu rwydwaith gwesteiwr-yn-unig gyda llwybro wedi’i ychwanegu ar ei ben. Mae pob atodiad yn newid beth all y gwestai ei weld a beth all y gwesteiwr ei wneud i’w draffig. O dan NAT mae pecynnau’r gwestai yn ymddangos fel petaent yn dod o’r gwesteiwr, felly gall twnnel y gwesteiwr ei hun eu cario heb i’r gwestai wybod dim amdano. O dan bont mae gan y gwestai ei bresenoldeb ei hun ar y segment a’i borth diofyn ei hun.

Cofnodwch yr atodiad cyn cyffwrdd ag unrhyw ffurfwedd, ynghyd â pha gleient sy’n golygu cario pa gymhwysiad. Mae’r frawddeg honno’n datrys y rhan fwyaf o’r tocynnau hyn, oherwydd mae’r ddau gleient fel arfer yn seiliedig ar dybiaethau gwahanol. Rhaid i westai y disgwylir iddo ddefnyddio twnnel y gwesteiwr beidio â chael llwybr diofyn cystadleuol ei hun hefyd.

Dilynwch bwynt terfyn y gwestai allan

Mae angen llwybr defnyddiadwy i’w weinydd ei hun ar VPN gwestai cyn i unrhyw beth arall weithio. Pan fydd twnnel y gwesteiwr i fyny a’r gwestai y tu ôl i NAT, mae ysgwyd llaw’r gwestai yn gadael trwy dwnnel y gwesteiwr, sydd naill ai’n fwriad neu’n ddamwain na chofnododd neb. Pan fydd twnnel y gwesteiwr yn cwympo ac roedd y gwestai yn dibynnu arno, mae’r gwestai yn colli cysylltedd heb un newid ar ei ochr ef. Mae dilyn y pwynt terfyn allan yn dweud wrthych pa un o’r ddau sydd gennych mewn gwirionedd.

Mae llwybr llydan yn y naill gyd-destun neu’r llall yn dal traffig yr oedd y cleient arall yn ei ddisgwyl. Mae llwybr 0.0.0.0/0 y tu mewn i’r gwestai a chleient gwesteiwr twnnel llawn ill dau yn hawlio popeth, a’r un sy’n berthnasol olaf sy’n ennill. Mae gorgyffwrdd rhwng rhwydweithiau rhithwir y gwestai, y LAN lleol a rhwydweithiau anghysbell yn cynhyrchu’r un effaith ar gyfer rhagddodiaid preifat, gyda methiannau sy’n debyg i broblemau dilysu; mae ymddygiad cyfieithu cyfeiriadau yr un fath â’r hyn a ddisgrifir ar gyfer rhwydweithio cynwysyddion.

Cymharwch gofnod cyn ac ar ôl

Cymerwch linell sylfaen gyda thwnnel y gwesteiwr i ffwrdd, neu mewn unrhyw gyflwr rheoledig y mae’ch polisi yn ei ganiatáu, a chofnodwch lwybr a datryswr y gwestai. Yna cymhwyswch y ffurfwedd gyfunol a chymharwch y ddau gofnod, gan gadw gofynion preifatrwydd yn gyfan. Os nad yw llinell sylfaen uniongyrchol yn briodol, ysgrifennwch y cyfyngiad hwnnw yn y cofnod yn hytrach na hepgor y gymhariaeth.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Mae’r ymholiad llwybr yn enwi’r rhyngwyneb a’r cyfeiriad ffynhonnell a fyddai’n cario cyrchfan penodol, a dyma’r llinell fwyaf defnyddiol yn yr ymchwiliad hwn. Mae’r rhestr rheolau yn dangos a yw llwybro polisi yn anfon rhai cyrchfannau trwy ail dabl. Mae allbwn y datryswr yn dangos a ddilynodd DNS dwnnel y gwestai neu a arhosodd ar lwybr y gwesteiwr. Rhedwch yr un tri gorchymyn cyn ac ar ôl y newid, ac mae’r gwahaniaeth yn enwi’r un drwg.

Cadwch berchnogaeth yn glir ar draws ailgychwyn

Gall cyfyngiad mynediad lleol cleient gwesteiwr rwystro traffig i NAT rhithwir neu bont, ac mae’r cyfyngiad hwnnw’n cael ei gamgymryd yn rheolaidd am broblem fynegiant gwestai. Darllenwch ymddygiad dogfennedig y cleient yn hytrach na diffodd y cyfyngiad i wneud i brawf basio. Ar ôl cywiriad â chefnogaeth, ailbrofwch gymhwysiad y gwestai a’r polisi methu rydych yn ei ofyn. Nid yw gwesteiwr sy’n ailgysylltu’n llwyddiannus yn profi dim am lwybr na datryswr y gwestai.

Penderfynwch pa ochr sy’n berchen ar y llwybr diofyn a chofnodwch hynny yn y llyfr rhedeg. Mae ailgychwyn gwestai neu newid rhwydwaith ar y gwesteiwr sy’n gwrthdroi perchnogaeth yn dawel yn cynhyrchu adroddiad nam am VPN na fu erioed yn euog. Dylai’r trefniant oroesi ailgychwyn heb i neb gofio pam y gweithiodd.