At starte en ny VPN erstatter den førstes tilstand

To klienter, to ikoner der viser forbindelse, og en tro på, at trafikken nu går gennem begge. Sammenlign den tro med, hvad hver platform faktisk tillader. En telefon har normalt præcis én plads til en VPN-tjeneste; en computer kan køre flere klienter, der kæmper om de samme ruter og den samme resolver. Forskellen mellem de to situationer forklarer de fleste rapporter om, at en VPN falder, når en anden starter.

Ikonerne beskriver processer, ikke en kæde.

Én plads på en telefon, flere ansøgere på en computer

På Android tilbyder platformen en VPN-tjenestemodel med en aktiv VPN per brugerprofil, så når man starter en anden, stopper den første. Det er systemet, der håndhæver sin egen regel, ikke en fejl i nogen af klienterne. På en computer kan flere klienter køre samtidigt, og derefter konkurrerer de om routingtabellen, politikregler, resolverkonfiguration og virtuelle grænseflader. Begge udfald er platformen, der arbejder som designet.

Ingen af udfaldene skaber en indlejret tunnel i sig selv. En kæde kræver, at en tunnel bærer den andens krypterede pakker, og det er en arkitektur, ikke en tilfældighed i rækkefølgen.

Hvad den anden klient overskriver

Den anden klient installerer typisk en standardrute, tilføjer sine egne regler og skubber sin egen resolver. Den første kan overleve som en proces uden trafik eller beholde en rute, der ikke længere vinder. Domænespecifikke ruter er det sædvanlige offer, og derfor bliver nogle destinationer ved med at virke, mens andre fejler. Det synlige symptom er en afbrydelse, og den faktiske tilstand er en delvis udskiftning.

En kontrol af udgangs-IP vil ikke afsløre dette. Den rapporterer én adresse for én destination og siger intet om, hvilke ruter der blev overskrevet, eller hvilken resolver der nu svarer. For at se skaden skal du læse routingtabellen og resolverens tilstand.

Indlejring er et design, ikke en rækkefølge af klik

Hvis indlejring er hensigten, skal du dokumentere hvert endepunkts ydre vej, dets fejlpolicy og MTU-konsekvenserne. Beslut, hvad der sker, når den ydre tunnel falder, mens den indre stadig tror, den er forbundet. At starte klienter i en heldig rækkefølge er ikke en konfiguration, fordi den næste opdatering eller genforbindelse omarrangerer dem. Et indlejret arrangement kræver samme omhu som enhver anden topologi.

Når en forbindelse er til arbejde og en anden er personlig, så læn dig op ad den isolation eller administrerede ordning, som platformen understøtter. At rive virksomhedens kontroller ud er ikke en adskillelsesstrategi.

Verificér med applikationen, ikke ikonet

Afprøv de applikationer, der faktisk betyder noget, fra hver kontekst, du agter at bruge, og inkludér resolveradfærd og genforbindelser i testen. En endelig udgangsadresse kan ikke identificere hver overskrevet rute, og et grønt ikon kan ikke identificere nogen af dem. Notér, hvem der ejer forbindelsen, og hvilken kombination der faktisk understøttes.

Hvis et produkt udtrykkeligt ikke understøtter sameksistens med et andet, vil en tilfældig rute- eller tilladelsesændring ikke give en vedligeholdelsesvenlig udrulning. Den vil give en, der virker indtil næste opdatering.

Skriv ned, hvilken klient der ejer standardruten, hvilken resolver der svarer, og hvad der sker, når hver af dem stopper.