Γιατί μια τοπική διαδρομή κερδίζει την προεπιλεγμένη διαδρομή του VPN

Ο εκτυπωτής στο γραφείο συνεχίζει να λειτουργεί αφού ανέβει η σήραγγα, ενώ ένας διακομιστής στο άλλο γραφείο επιλύεται ήσυχα σε κάτι τοπικό. Και οι δύο συμπεριφορές προέρχονται από τον ίδιο κανόνα: κερδίζει η πιο συγκεκριμένη διαδρομή, και ένα άμεσα συνδεδεμένο πρόθεμα είναι όσο πιο συγκεκριμένο γίνεται. Αυτός είναι συνήθως ο σχεδιασμός που θέλετε, και έτσι ακριβώς ένα διπλό ιδιωτικό εύρος κλέβει μια απομακρυσμένη διεύθυνση. Αν διαβάσετε πρώτα την επιλογή του πυρήνα, μια μυστηριώδης αποτυχία γίνεται σύγκριση προθεμάτων.

Ένα συνδεδεμένο πρόθεμα είναι πιο συγκεκριμένο από μια προεπιλεγμένη διαδρομή

Μια σήραγγα εγκαθιστά συνήθως μια προεπιλεγμένη διαδρομή ή ένα σύνολο προθεμάτων, ενώ μια τοπική διεπαφή φέρει ένα συνδεδεμένο πρόθεμα συν μια διαδρομή προς ολόκληρο το LAN. Ανάμεσά τους αποφασίζει η αντιστοίχιση του μεγαλύτερου προθέματος, οπότε ένας προορισμός μέσα στο πρόθεμα του LAN δεν φτάνει ποτέ στη σήραγγα. Γι' αυτό ο εκτυπωτής, η σελίδα διαχείρισης του δρομολογητή και ένα τοπικό NAS παραμένουν προσβάσιμα όσο το VPN είναι ενεργό. Γι' αυτό επίσης ένας απομακρυσμένος πόρος μέσα σε επικαλυπτόμενο εύρος πηγαίνει στο λάθος μηχάνημα.

Ο ιδιωτικός χώρος διευθύνσεων δεν είναι μοναδικός, και το να διαλέγουν δύο τοποθεσίες το ίδιο πρόθεμα είναι αρκετά συνηθισμένο ώστε να το σχεδιάζεις. Όταν τα εύρη επικαλύπτονται, η τοπική απάντηση φτάνει γρήγορα και φαίνεται έγκυρη, οπότε η αποτυχία διαβάζεται εύκολα ως πρόβλημα σύνδεσης. Ο προορισμός απάντησε, απλώς όχι αυτός που εννοούσατε.

Διαβάστε την επιλογή που θα έκανε ο πυρήνας

Ρωτήστε τον πυρήνα ποια διαδρομή θα χρησιμοποιούσε για τον ακριβή προορισμό αντί να διαβάζετε τον πίνακα από πάνω. Έπειτα αναζητήστε κανόνες πολιτικής που θα μπορούσαν να επιλέξουν άλλο πίνακα. Δύο εντολές απαντούν και στα δύο ερωτήματα σε λίγα δευτερόλεπτα.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Η πρώτη έξοδος ονομάζει τη διεπαφή, το επόμενο άλμα και τη διεύθυνση προέλευσης που θα χρησιμοποιούσε ο πυρήνας, και αυτή είναι η απάντηση που μετράει. Μια τιμή dev που δείχνει στην τοπική γέφυρα σημαίνει ότι το πακέτο δεν μπαίνει ποτέ στη σήραγγα, ό,τι κι αν ισχυρίζεται το πλαίσιο κατάστασης του πελάτη VPN. Η φιλτραρισμένη λίστα πινάκων δείχνει αν άλλος πίνακας κρατά το ίδιο πρόθεμα, και η λίστα κανόνων δείχνει τη σειρά με την οποία συμβουλεύονται αυτοί οι πίνακες. Ένας κανόνας πολιτικής μπορεί να στείλει ένα πρόθεμα μέσω συγκεκριμένου πίνακα ακόμη και όταν ο κύριος πίνακας διαφωνεί, άρα αυτή η σειρά είναι μέρος της απάντησης.

Η τοπική πρόσβαση είναι ξεχωριστή άδεια

Το να έχεις διαδρομή δεν είναι το ίδιο με το να επιτρέπεται να τη χρησιμοποιήσεις. Οι περισσότεροι πελάτες μπορούν να μπλοκάρουν την τοπική δικτυακή επικοινωνία όσο η σήραγγα είναι ενεργή, και αυτή η ρύθμιση είναι απόφαση πολιτικής, όχι προϊόν δρομολόγησης. Όταν μια αξιόπιστη κοντινή υπηρεσία ανήκει στον σχεδιασμό, ενεργοποιήστε την υποστηριζόμενη επιλογή τοπικής πρόσβασης αντί να επινοείτε διαδρομές. Όταν η συσκευή είναι σε δημόσιο Wi-Fi, αφήστε την ανενεργή.

Τα δύο επίπεδα αποτυγχάνουν διαφορετικά. Μια μπλοκαρισμένη τοπική διαδρομή παράγει λήξη χρόνου παρόλο που η διαδρομή υπάρχει, ενώ μια επικαλυπτόμενη διαδρομή παράγει απάντηση από λάθος κεντρικό υπολογιστή. Η διάκρισή τους κοστίζει ένα ερώτημα και γλιτώνει ένα απόγευμα αλλαγών στο τείχος προστασίας, και η διάταξη προώθησης περιγράφεται στο οι σημειώσεις προώθησης του strongSwan.

Διορθώστε μια επικάλυψη χωρίς συσσώρευση διαδρομών προς κεντρικούς υπολογιστές

Μια διαδρομή προς κεντρικό υπολογιστή για μία διεύθυνση φαίνεται να διορθώνει μια επικάλυψη και αποτυγχάνει τη στιγμή που χρειάζεται δεύτερη διεύθυνση στο ίδιο εύρος. Είκοσι τέτοιες αργότερα, κανείς δεν μπορεί να πει ποιο πρόθεμα είναι το έγκυρο. Οι διαρκείς λύσεις είναι μια αλλαγή διευθυνσιοδότησης, μια τεκμηριωμένη τοπολογία που αποφεύγει το διπλό εύρος, ή μετάφραση στο ένα άκρο. Καθεμία κοστίζει χρόνο σχεδιασμού μία φορά αντί για συντήρηση για πάντα.

Αν μια προσωρινή διαδρομή προς κεντρικό υπολογιστή είναι πραγματικά απαραίτητη, καταγράψτε δίπλα της τον λόγο, τον υπεύθυνο και την ημερομηνία, ώστε να μπορεί να αφαιρεθεί αργότερα. Έπειτα δοκιμάστε την ακριβή διεύθυνση και υπηρεσία συν έναν δημόσιο προορισμό, γιατί μια αλλαγή τοπικής πρόσβασης που αποκλείει ήσυχα άσχετες εφαρμογές από τη σήραγγα είναι χειρότερη από την αρχική βλάβη. Κρατήστε το τοπικό πρόθεμα και το απομακρυσμένο πρόθεμα γραμμένα χωριστά· αυτή η συνήθεια εμποδίζει ένα λειτουργικό τοπικό ping να διακινείται ως απόδειξη ότι το απομακρυσμένο γραφείο είναι προσβάσιμο.