Dau gleient VPN ar un ddesg: beth sy’n gwrthdaro a beth sy’n gweithio

Mae eich ail gleient yn cysylltu, mae adnoddau’r cyntaf yn peidio â datrys, ac mae’r tocyn yn dweud bod VPN y gwaith wedi torri’r un personol. Nid oes dim wedi torri yn yr ystyr o fai: gwnaeth y ddau gleient yr hyn y cawsant eu cynllunio ar ei gyfer, ac nid oes gan y peiriant ond un tabl llwybro. Mae’r gwrthdaro dros bedwar adnodd y mae pob cleient yn tybio ei fod yn berchen arnynt. Ewch drwyddynt yn eu trefn, ac mae’r atgyweiriad fel arfer yn troi’n ddewis dylunio yn hytrach nag yn atgyweiriad.

Cam 1: canfyddwch pa gleient sy’n berchen ar yr allanfa

Darllenwch y penderfyniad allanfa presennol cyn newid unrhyw beth. Mae chwiliad llwybr ar gyfer cyfeiriad cyhoeddus yn dweud wrthych pa ryngwyneb a pha naid nesaf y byddai pecyn yn eu defnyddio ar hyn o bryd, a dyna’r ateb i bwy a enillodd. Cymharwch hynny ag enwau’r rhyngwynebau a grëwyd gan y cleientiaid, sydd fel arfer yn cario enw’r cynnyrch neu’r protocol. Os yw’r chwiliad yn cyfeirio at dwnnel nad oeddech yn ei ddisgwyl, rydych eisoes wedi dod o hyd i’r gwrthdaro.

ip route get 1.1.1.1
ip route show default
route print

Nid yw rhai cleientiaid yn disodli’r llwybr diofyn o gwbl; maent yn ychwanegu dau hanner, un ar gyfer hanner isaf y gofod cyfeiriadau ac un ar gyfer yr hanner uchaf, sy’n cwmpasu popeth gyda’i gilydd. Mae hynny’n gadael y llwybr diofyn gwreiddiol yn weladwy ac yn gwneud atgyweiriad â llaw i edrych yn gywir tra bod traffig yn dal i adael drwy’r twnnel. Darllenwch y metrig a hyd y rhagddodiad, nid yn unig presenoldeb cofnod diofyn.

Stopiwch os yw’r ddau gleient yn hawlio’r un rhagddodiad gyda’r un metrig. Bydd y cnewyllyn yn dewis un, a bydd y llall yn ymddangos fel pe bai wedi cysylltu heb gario dim.

Cam 2: gwiriwch y datryswr a’r rhagddodiaid sy’n gorgyffwrdd

DNS yw’r ail wrthdaro, ac mae’n cynhyrchu symptom nodedig: mae enwau’n methu tra bod cyfeiriadau’n gweithio. Mae pob cleient yn gwthio ei ddatryswr ei hun, a’r ysgrifennwr olaf sy’n ennill ar gyfer yr ymholiadau sy’n dilyn. Gofynnwch i’r gwasanaeth datryswr beth mae’n ei ddefnyddio fesul dolen yn hytrach na darllen tudalen gosodiadau’r cleient.

resolvectl status
Get-DnsClientServerAddress
dig +short intranet.corp.example

Yna cymharwch y rhagddodiaid preifat y mae’r ddwy rwydwaith yn eu defnyddio. Os yw’r ddwy ochr yn dyrannu o’r un ystod, ni fydd unrhyw drefniant ar ochr y cleient yn ei drwsio, oherwydd ni all y peiriant ddweud pa gyrchfan 10.0.0.0/8 sy’n perthyn i pa dwnnel. Rhaid ailrifo neu gyfieithu un ochr, ac mae hynny’n sgwrs â pherchnogion y rhwydwaith yn hytrach na newid cyfluniad. Gorgyffwrdd yw’r un gwrthdaro lle mae’r ateb gonest yn golygu bod yn rhaid i’r dyluniad newid.

Stopiwch yma os yw’r rhagddodiaid yn gorgyffwrdd. Mae popeth nes ymlaen yn y rhestr hon yn tybio nad ydynt yn gorgyffwrdd.

Cam 3: dewiswch batrwm gwahanu sy’n dal

Mae’r patrymau dibynadwy’n osgoi rhedeg dau gleient yn erbyn yr un tabl llwybro. Un cleient gyda pholisi twnnel hollt sy’n cyrraedd y ddwy rwydwaith breifat yw’r symlaf, ar yr amod nad yw’r cyrchfannau’n gorgyffwrdd ac bod perchennog y polisi’n cytuno. Peiriant rhithiol neu ofod enw rhwydwaith yw’r cam nesaf, oherwydd mae pob un yn cael ei dabl ei hun a’i ddatryswr ei hun.

sudo ip netns add vpn2
sudo ip netns exec vpn2 ip link show
sudo ip netns exec vpn2 curl -sI https://intranet.corp.example/

Mae gofod enw yn rhoi’r un gwahanu â pheiriant rhithiol heb yr ail system weithredu, ond mae ganddo ymylon garw: rhaid symud y ddyfais twnnel iddo, a rhaid cychwyn y rhaglen y tu mewn iddo. Mae dyfais gorfforol ar wahân yn aml yw’r opsiwn lleiaf syndod ar gyfer VPN personol ochr yn ochr â chleient gwaith a reolir. Nid yw pentyrru un twnnel y tu mewn i un arall yn batrwm gwahanu; rhaid i’r pen fewnol aros yn gyrraeddadwy drwy’r twnnel allanol, ac mae’r trefniant yn ychwanegu problemau MTU ac oedi ar ei ben.

Dewiswch un patrwm ac ysgrifennwch pam. Mae cymysgu gofod enw ar gyfer un rhaglen â thwnnel hollt ar gyfer y lleill yn ail-greu’r gwrthdaro gwreiddiol ar ffurf sy’n anoddach ei daddybacio.

Cam 4: gwiriwch y ddwy rwydwaith o’r un sesiwn

Profwch un adnodd ar bob rhwydwaith breifat o’r amgylchedd lle mae’r rhaglen yn rhedeg mewn gwirionedd, nid o’ch cragen os yw’r ap yn rhedeg y tu mewn i ofod enw. Gwiriwch y rhyngwyneb allanfa, y cyfeiriad a ddatryswyd a’r cod ymateb gyda’i gilydd, oherwydd gall llwyddiant yn un o’r tri guddio methiant yn y lleill. Ailadroddwch ar ôl ailgychwyn, gan fod y drefn y mae cleientiaid yn cychwyn ynddi’n penderfynu pwy sy’n ennill. Y drefn honno yw’r rhan y mae pobl yn anghofio ei chofnodi.

curl -sI https://intranet.corp.example/
curl -sI https://files.personal.example/
ip route get 10.20.30.40

Cofnodwch fersiynau’r cleientiaid, y rhyngwynebau, cyflwr y datryswr a’r rhagddodiaid ar gyfer pob rhwydwaith. Pan fydd cleient yn diweddaru ac yn newid ei ymddygiad llwybro, y cofnod hwnnw yw’r gwahaniaeth rhwng atgyweiriad pum munud ac ailadeiladu. Ni fydd y person nesaf yn rhannu eich cof am ba dwnnel a gododd gyntaf.

Mae’r rhestr yn gyflawn pan allwch enwi’r rhyngwyneb sy’n berchen ar y llwybr diofyn, y datryswr y mae pob enw’n ei ddefnyddio, y patrwm sy’n gwahanu’r ail dwnnel, a chanlyniad un cais fesul rhwydwaith ar ôl ailgychwyn. Unrhyw beth llai yw cyfluniad sy’n digwydd gweithio heddiw.