Dau gleient VPN ar unwaith: pwy sy’n ennill y llwybr diofyn?

Mae rhedeg dau gleient VPN ar unwaith yn ddadl llwybro, nid yn osodiad preifatrwydd. Pa bynnag dwnnel sy’n berchen ar y llwybr mwy penodol sy’n derbyn y traffig, ac mae’r llall yn aros yn gysylltiedig ond yn segur. Mae’r porth corfforaethol wedyn yn gweld cysylltiad yn dod o’r allanfa bersonol, tra bod y cleient corfforaethol ar eich peiriant yn dal i weld pob addasydd. Penderfynu pa un o’r ddau ffaith sy’n bwysig yw’r holl ymarfer.

Mae’r tabl llwybrau yn dewis un enillydd

Cofnodwch y tabl cyn ac ar ôl i’r cleient corfforaethol gychwyn, a darllenwch y golofn rhyngwyneb yn hytrach na’r cyrchfan yn unig. Mae llwybr diofyn plaen o’r twnnel allanol yn hawdd i’w ddadleoli, oherwydd bod pâr /1 yn fwy penodol na /0. Mae’r pâr llythrennol 0.0.0.0/1 a 128.0.0.0/1 yn gorchuddio holl ofod IPv4 mewn dwy hanner ac yn curo unrhyw lwybr diofyn sengl. Ar ôl ei osod, mae’r twnnel allanol yn dal i ymddangos yn gysylltiedig ac yn cario dim.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Gall llwybro polisi ddiystyru’r prif dabl yn llwyr, felly darllenwch y rheolau yn ogystal â’r llwybrau. Mae rheol sy’n anfon traffig wedi’i farcio i dabl arall yn ennill cyn i’r prif dabl gael ei ystyried. Dyna sut y gall un cymhwysiad aros ar y cyswllt ffisegol tra bod popeth arall yn defnyddio’r twnnel.

ip rule show

Mae Windows yn setlo hyn gyda metrigau

Ar Windows y buddugwr yw’r llwybr â’r metrig isaf ar gyfer y cyrchfan, a gall dau gleient osod llwybr diofyn â metrigau gwahanol. Darllenwch y tabl a chyfluniad y rhyngwyneb gyda’i gilydd, oherwydd nid yr addasydd â’r metrig is bob amser yw’r un rydych yn ei ddisgwyl. Gall cleient sy’n gosod metrig rhyngwyneb hefyd symud y llwybr diofyn heb ychwanegu unrhyw lwybr. Mae’r addasydd sy’n colli yn aros i fyny ac yn syml yn derbyn dim.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Cymharwch y ddau allbwn ac enwch y rhyngwyneb sy’n berchen ar 0.0.0.0/0. Os yw’r ddau gleient yn ei hawlio, y metrig sy’n penderfynu, a dyna pam y gall prawf trefn cysylltu edrych yn anghyson ar draws peiriannau. Os nad yw’r naill allbwn na’r llall yn dangos porth diofyn, nid yw’r cleient yn rhedeg twnnel llawn ac mae’r ddadl gadwyn yn ddiystyr.

Dau arsylwr, dwy olwg wahanol

Mae’r porth anghysbell yn gweld un cysylltiad yn dod o’r allanfa allanol ynghyd â’r hyn y mae’r cleient yn ei anfon ymlaen i’w dwnnel. Mae’r cleient lleol yn gweld addasyddion, llwybrau a bodolaeth twnnel arall, oherwydd ei fod yn rhedeg â braint i’w creu. Gwahanu’r olwg hynny yw’r pwynt; haeru na all y cleient sylwi yw’r gwrthwyneb.

Cymerwch fod y cleient yn gallu rhifo beth bynnag a fyn, a chynlluniwch ar gyfer golwg y porth yn lle hynny. Mae dyluniad sy’n dibynnu ar y cleient yn aros yn ddall un diweddariad oddi wrth dorri.

DNS ac IPv6 yw’r mannau lle mae’r gadwyn yn gollwng

Mae DNS yn dilyn pa bynnag osodiad datryswr sy’n ennill, ac nid dyna o reidrwydd y llwybr y mae’r pecynnau’n ei gymryd. Mae datryswr corfforaethol a gyrhaeddir trwy’r twnnel corfforaethol yn gyson â’r dyluniad; nid yw datryswr lleol a gyrhaeddir y tu allan iddo, ac mae’n datgelu enwau y bwriadwyd i’r twnnel eu cuddio. IPv6 yw’r ail ollyngiad: mae gwesteiwr deu-stac yn parhau i ddefnyddio IPv6 tuag at gyrchfannau nad yw’r twnnel yn eu cario ond dros IPv4. Gwiriwch y teuluoedd ar wahân, oherwydd nid yw twnnel IPv4 yn unig yn dweud dim am lwybrau na datryswyr IPv6.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Trwsiwch y datryswr a’r llwybr IPv6 yn fwriadol yn hytrach na pentyrru ail dwnnel ar ei ben. Mae amgáu dwbl hefyd yn costio MTU, felly MTU mewnol llai yw’r peth cyntaf i’w geisio pan fydd tudalennau’n stopio ar ôl i’r gadwyn godi. Nid yw datryswr sy’n ateb yn gyflym yn brawf mai dyna’r datryswr cywir.