Δύο πελάτες VPN ταυτόχρονα: ποιος κερδίζει την προεπιλεγμένη διαδρομή;

Η εκτέλεση δύο πελατών VPN ταυτόχρονα είναι ζήτημα δρομολόγησης, όχι ρύθμιση ιδιωτικότητας. Όποια σήραγγα κατέχει την πιο συγκεκριμένη διαδρομή λαμβάνει την κίνηση, και η άλλη μένει συνδεδεμένη αλλά αδρανής. Η εταιρική πύλη βλέπει τότε μια σύνδεση που φτάνει από την προσωπική έξοδο, ενώ ο εταιρικός πελάτης στον υπολογιστή σας εξακολουθεί να βλέπει κάθε προσαρμογέα. Το να αποφασίσετε ποιο από τα δύο γεγονότα έχει σημασία είναι όλη η άσκηση.

Ο πίνακας δρομολόγησης επιλέγει έναν νικητή

Καταγράψτε τον πίνακα πριν και μετά την εκκίνηση του εταιρικού πελάτη και διαβάστε τη στήλη διεπαφής αντί μόνο τον προορισμό. Μια απλή προεπιλεγμένη διαδρομή από την εξωτερική σήραγγα εκτοπίζεται εύκολα, επειδή ένα ζεύγος /1 είναι πιο συγκεκριμένο από το /0. Το κυριολεκτικό ζεύγος 0.0.0.0/1 και 128.0.0.0/1 καλύπτει όλο τον χώρο IPv4 σε δύο μισά και νικά κάθε μεμονωμένη προεπιλεγμένη διαδρομή. Μόλις εγκατασταθεί, η εξωτερική σήραγγα εξακολουθεί να εμφανίζεται συνδεδεμένη και δεν μεταφέρει τίποτα.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Η δρομολόγηση πολιτικής μπορεί να παρακάμψει εντελώς τον κύριο πίνακα, οπότε διαβάστε και τους κανόνες και τις διαδρομές. Ένας κανόνας που στέλνει σημασμένη κίνηση σε άλλον πίνακα κερδίζει πριν εξεταστεί ο κύριος πίνακας. Έτσι μια εφαρμογή μπορεί να μείνει στη φυσική ζεύξη ενώ όλα τα άλλα χρησιμοποιούν τη σήραγγα.

ip rule show

Τα Windows το κρίνουν με μετρικές

Στα Windows νικητής είναι η διαδρομή με τη χαμηλότερη μετρική για τον προορισμό, και δύο πελάτες μπορούν να εγκαταστήσουν και οι δύο προεπιλεγμένη διαδρομή με διαφορετικές μετρικές. Διαβάστε τον πίνακα και τη διαμόρφωση διεπαφής μαζί, γιατί ο προσαρμογέας με τη χαμηλότερη μετρική δεν είναι πάντα αυτός που περιμένετε. Ένας πελάτης που ορίζει και μετρική διεπαφής μπορεί να μετακινήσει την προεπιλεγμένη χωρίς να προσθέσει ούτε μία διαδρομή. Ο προσαρμογέας που χάνει μένει ενεργός και απλώς δεν λαμβάνει τίποτα.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Συγκρίνετε τις δύο εξόδους και ονομάστε τη διεπαφή που κατέχει 0.0.0.0/0. Αν και οι δύο πελάτες τη διεκδικούν, αποφασίζει η μετρική, γι’ αυτό μια δοκιμή σειράς σύνδεσης μπορεί να φαίνεται ασυνεπής μεταξύ μηχανημάτων. Αν καμία έξοδος δεν δείχνει προεπιλεγμένη πύλη, ο πελάτης δεν τρέχει σε πλήρη σήραγγα και το επιχείρημα της αλυσίδας είναι άκυρο.

Δύο παρατηρητές, δύο διαφορετικές όψεις

Η απομακρυσμένη πύλη βλέπει μία σύνδεση να φτάνει από την εξωτερική έξοδο συν ό,τι προωθεί ο πελάτης στη σήραγγά του. Ο τοπικός πελάτης βλέπει προσαρμογείς, διαδρομές και την ύπαρξη άλλης σήραγγας, επειδή εκτελείται με δικαιώματα να τις δημιουργεί. Ο διαχωρισμός αυτών των όψεων είναι το νόημα· το να ισχυριστεί κανείς ότι ο πελάτης δεν μπορεί να το προσέξει δεν είναι.

Υποθέστε ότι ο πελάτης μπορεί να απαριθμήσει ό,τι θέλει, και σχεδιάστε αντ’ αυτού για την όψη της πύλης. Ένας σχεδιασμός που εξαρτάται από το να μείνει ο πελάτης τυφλός απέχει μία ενημέρωση από το να σπάσει.

Το DNS και το IPv6 είναι εκεί όπου διαρρέει η αλυσίδα

Το DNS ακολουθεί όποια ρύθμιση resolver κερδίσει, και αυτή δεν είναι απαραίτητα η διαδρομή που ακολουθούν τα πακέτα. Ένας εταιρικός resolver που φτάνεται μέσω της εταιρικής σήραγγας είναι συνεπής με τον σχεδιασμό· ένας τοπικός resolver που φτάνεται εκτός της δεν είναι, και εκθέτει ονόματα που η σήραγγα έπρεπε να κρύβει. Το IPv6 είναι η δεύτερη διαρροή: ένας δυαδικός υπολογιστής συνεχίζει να χρησιμοποιεί IPv6 προς προορισμούς που η σήραγγα μεταφέρει μόνο μέσω IPv4. Ελέγξτε τις οικογένειες χωριστά, γιατί μια σήραγγα μόνο για IPv4 δεν λέει τίποτα για διαδρομές ή resolvers IPv6.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Διορθώστε τον resolver και τη διαδρομή IPv6 σκόπιμα αντί να στοιβάξετε δεύτερη σήραγγα από πάνω. Η διπλή ενθυλάκωση κοστίζει και MTU, οπότε ένα μικρότερο εσωτερικό MTU είναι το πρώτο που πρέπει να δοκιμάσετε όταν οι σελίδες κολλάνε μετά την ανάπτυξη της αλυσίδας. Ένας resolver που απαντά γρήγορα δεν είναι απόδειξη ότι είναι ο σωστός resolver.