Zwei VPN-Clients gleichzeitig: Wer gewinnt die Standardroute?

Zwei VPN-Clients gleichzeitig zu betreiben ist eine Routing-Diskussion, keine Datenschutzeinstellung. Welcher Tunnel die spezifischere Route besitzt, bekommt den Verkehr, und der andere bleibt verbunden, aber untätig. Das Unternehmens-Gateway sieht dann eine Verbindung, die vom persönlichen Ausgang kommt, während der Unternehmens-Client auf Ihrem Rechner weiterhin jeden Adapter sieht. Zu entscheiden, welche dieser beiden Tatsachen zählt, ist die ganze Übung.

Die Routentabelle wählt einen Gewinner

Erfassen Sie die Tabelle vor und nach dem Start des Unternehmens-Clients und lesen Sie die Schnittstellenspalte statt nur das Ziel. Eine einfache Standardroute aus dem äußeren Tunnel lässt sich leicht verdrängen, weil ein /1-Paar spezifischer als /0 ist. Das wörtliche Paar 0.0.0.0/1 und 128.0.0.0/1 deckt den gesamten IPv4-Raum in zwei Hälften ab und schlägt jede einzelne Standardroute. Nach der Installation zeigt der äußere Tunnel weiterhin verbunden an und trägt nichts.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Policy-Routing kann die Haupttabelle vollständig außer Kraft setzen, lesen Sie also sowohl die Regeln als auch die Routen. Eine Regel, die markierten Verkehr in eine andere Tabelle schickt, gewinnt, bevor die Haupttabelle überhaupt befragt wird. So kann eine Anwendung auf der physischen Verbindung bleiben, während alles andere den Tunnel nutzt.

ip rule show

Windows entscheidet es über Metriken

Unter Windows gewinnt die Route mit der niedrigsten Metrik für das Ziel, und zwei Clients können beide eine Standardroute mit unterschiedlichen Metriken installieren. Lesen Sie Tabelle und Schnittstellenkonfiguration zusammen, denn der Adapter mit der niedrigeren Metrik ist nicht immer der erwartete. Ein Client, der zusätzlich eine Schnittstellenmetrik setzt, kann die Standardroute verschieben, ohne eine einzige Route hinzuzufügen. Der unterlegene Adapter bleibt oben und empfängt einfach nichts.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Vergleichen Sie die beiden Ausgaben und benennen Sie die Schnittstelle, die 0.0.0.0/0 besitzt. Wenn beide Clients sie beanspruchen, entscheidet die Metrik, weshalb ein Test der Verbindungsreihenfolge auf verschiedenen Rechnern inkonsistent wirken kann. Wenn keine der Ausgaben ein Standard-Gateway zeigt, läuft der Client nicht im Full-Tunnel und das Kettenargument ist gegenstandslos.

Zwei Beobachter, zwei verschiedene Sichten

Das entfernte Gateway sieht eine Verbindung, die vom äußeren Ausgang kommt, plus alles, was der Client in seinen Tunnel weiterleitet. Der lokale Client sieht Adapter, Routen und die Existenz eines weiteren Tunnels, weil er mit Rechten zu deren Erstellung läuft. Diese Sichten zu trennen ist der Punkt; zu behaupten, der Client könne es nicht bemerken, nicht.

Gehen Sie davon aus, dass der Client aufzählen kann, was er will, und planen Sie stattdessen für die Sicht des Gateways. Ein Design, das davon abhängt, dass der Client blind bleibt, ist ein Update vom Bruch entfernt.

DNS und IPv6 sind die Stellen, an denen die Kette leckt

DNS folgt der Resolver-Einstellung, die gewinnt, und das ist nicht unbedingt der Pfad, den die Pakete nehmen. Ein Unternehmens-Resolver, der über den Unternehmens-Tunnel erreicht wird, passt zum Design; ein lokaler Resolver, der außerhalb erreicht wird, nicht, und er legt Namen offen, die der Tunnel verbergen sollte. IPv6 ist das zweite Leck: Ein Dual-Stack-Host nutzt IPv6 weiter zu Zielen, die der Tunnel nur über IPv4 trägt. Prüfen Sie die Familien getrennt, denn ein reiner IPv4-Tunnel sagt nichts über IPv6-Routen oder -Resolver.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Korrigieren Sie Resolver und IPv6-Route gezielt, statt einen zweiten Tunnel obendrauf zu stapeln. Doppelte Kapselung kostet auch MTU, also ist eine kleinere innere MTU das Erste, was Sie versuchen sollten, wenn Seiten nach dem Aufbau der Kette hängen. Ein Resolver, der schnell antwortet, ist kein Beweis dafür, dass er der richtige ist.