Η μετρική διαδρομής VPN άλλαξε μετά τη σύνδεση: τι σημαίνει
Μια χαμηλότερη μετρική απλώς λύνει ισοπαλίες μεταξύ εξίσου ειδικών διαδρομών. Διαβάστε τον κανόνα πολιτικής, το πρόθεμα και τη διαδρομή κεντρικού υπολογιστή του τελικού σημείου πριν αλλάξετε οποιονδήποτε αριθμό διαδρομής VPN.
Συνδέετε το VPN, εκτελείτε route print και η προεπιλεγμένη διαδρομή φέρει τώρα πολύ χαμηλότερη μετρική από πριν. Το φυσικό συμπέρασμα είναι ότι το VPN πήρε την προεπιλεγμένη διαδρομή επειδή ο αριθμός της είναι μικρότερος. Μερικές φορές αυτό ακριβώς συνέβη. Συχνά η μετρική δεν είναι καθόλου ο αποφασιστικός παράγοντας και η αλλαγή της δεν αλλάζει τίποτα, γιατί η επιλογή έγινε νωρίτερα, από το μήκος του προθέματος ή από έναν κανόνα πολιτικής.
Το σύμπτωμα είναι πραγματικό: κίνηση που έβγαινε από τον προσαρμογέα Wi-Fi τώρα βγαίνει από τη σήραγγα, ή το αντίστροφο. Η μετρική είναι μία είσοδος σε μια αναζήτηση που εκτελείται με σταθερή σειρά, και αυτή η σειρά είναι που πρέπει να διαβάσετε πριν αγγίξετε έναν αριθμό.
Με τι ανταγωνίζεται στην πραγματικότητα ο αριθμός
Η πρώτη σύγκριση είναι η ειδικότητα, όχι η προτίμηση. Μια διαδρομή για 10.20.0.0/16 κερδίζει την 10.0.0.0/8, και οι δύο κερδίζουν την 0.0.0.0/0, ό,τι κι αν λένε οι μετρικές τους. Ένα VPN που εγκαθιστά προεπιλεγμένη διαδρομή με τη χαμηλότερη μετρική στο μηχάνημα χάνει ακόμη από κάθε πιο ειδική διαδρομή που ταιριάζει στον προορισμό, συμπεριλαμβανομένης της διαδρομής κεντρικού υπολογιστή που εγκαθιστά ο πελάτης για τον δικό του διακομιστή.
Γι' αυτό η μείωση της μετρικής σε μια προεπιλεγμένη διαδρομή δεν μπορεί να εξαναγκάσει ένα άμεσα συνδεδεμένο υποδίκτυο μέσα στη σήραγγα. Αν θέλετε αυτό το υποδίκτυο μέσα στο VPN, προσθέστε διαδρομή για το πρόθεμα ή επιλέξτε τον πίνακα της σήραγγας με κανόνα πολιτικής. Η μετρική είναι ο λάθος μοχλός για αυτή τη δουλειά.
| Check in this order | Question | Where you read it |
|---|---|---|
| 1. Policy and table | Which routing table does this traffic use? | ip rule, client profile |
| 2. Prefix length | Which matching route is most specific? | route print, ip route |
| 3. Metric | Which of the equally specific routes is preferred? | route print, ip route |
| 4. Interface state | Is the chosen next hop reachable? | adapter status, link state |
Το Linux αποφασίζει τον πίνακα πριν από τη μετρική
Στο Linux ο πυρήνας συμβουλεύεται πρώτα τη βάση δεδομένων πολιτικής. Το ip rule απαριθμεί τους κανόνες και τους πίνακες που επιλέγουν, και το ip route get 203.0.113.10 αναφέρει τον πίνακα, τη διαδρομή και τη διεύθυνση προέλευσης που θα χρησιμοποιούσε πραγματικά ο πυρήνας για αυτόν τον προορισμό. Μια μετρική μέσα στον πίνακα 100 δεν ανταγωνίζεται ποτέ διαδρομή στον κύριο πίνακα, γιατί ο κανόνας επέλεξε τον πίνακα πριν συγκριθεί οποιαδήποτε μετρική.
Γι' αυτό μια διαδρομή μπορεί να φαίνεται σωστή στο ip route show table all και παρόλα αυτά να μη μεταφέρει κίνηση. Διαβάστε τον κανόνα που ταίριαξε, μετά τον πίνακα που επέλεξε, μετά συγκρίνετε τις διαδρομές μέσα του. Αν επιλέχθηκε ο λάθος πίνακας, καμία αλλαγή μετρικής στον άλλο πίνακα δεν θα βοηθήσει.
Τα Windows συνδυάζουν δύο μετρικές
Τα Windows δεν έχουν βάση πολιτικής από προεπιλογή, αλλά συνδυάζουν μετρική διαδρομής με μετρική διεπαφής, και η αυτόματη μετρική διεπαφής μπορεί να αλλάξει με την ταχύτητα ζεύξης και την κατάσταση του προσαρμογέα. Γι' αυτό η ίδια διαδρομή μπορεί να συμπεριφερθεί διαφορετικά αφού εμφανιστεί σταθμός σύνδεσης ή εικονικός προσαρμογέας. Το Find-NetRoute -RemoteIPAddress 203.0.113.10 αναφέρει τη διεύθυνση προέλευσης, το επόμενο άλμα και τη διεπαφή που επιλέχθηκαν, που είναι πιο κοντά στην πραγματική απόφαση από τον ακατέργαστο πίνακα.
Διαβάστε τις τιμές διαδρομής και διεπαφής μαζί. Η αύξηση της μετρικής διεπαφής μπορεί να μετακινήσει κίνηση χωρίς να αλλάξει καμία καταχώριση διαδρομής, και ένας πελάτης VPN που κατέχει τις διαδρομές του θα τις επανεγκαταστήσει στην επανασύνδεση και θα πετάξει την αλλαγή σας.
Κρατήστε το τελικό σημείο της σήραγγας έξω από τη σήραγγα
Κάθε σήραγγα χρειάζεται διαδρομή προς τον δικό της διακομιστή που δεν περνά από τη σήραγγα. Οι πελάτες εγκαθιστούν διαδρομή κεντρικού υπολογιστή για το τελικό σημείο μέσω της φυσικής πύλης, και αυτή η διαδρομή πρέπει να παραμείνει πιο ειδική από την προεπιλεγμένη που προσθέτει ο πελάτης. Διαγράψτε την, ή αφήστε τη σήραγγα να κερδίσει την αναζήτηση για εκείνη τη διεύθυνση, και τα ενθυλακωμένα πακέτα θα προσπαθήσουν να μπουν στη σήραγγα που υποτίθεται ότι χτίζουν. Η σύνδεση αποτυγχάνει ή μπαίνει σε βρόχο.
Ελέγξτε αυτή τη διαδρομή κεντρικού υπολογιστή πριν και μετά από κάθε αλλαγή μετρικής: πρέπει να δείχνει στο φυσικό επόμενο άλμα και να επιβιώνει σε επανασύνδεση. Αν την κατέχει ο πελάτης, αλλάξτε το προφίλ ή τη διαχειριζόμενη διαμόρφωση αντί για τιμή χρόνου εκτέλεσης που θα αντικατασταθεί.
Ελέγξτε και τις δύο οικογένειες διευθύνσεων και το περιβάλλον της εφαρμογής
Τα IPv4 και IPv6 είναι ξεχωριστές αποφάσεις με ξεχωριστούς πίνακες. Ένα VPN μπορεί να μεταφέρει IPv4 ενώ το IPv6 συνεχίζει να χρησιμοποιεί τον τοπικό δρομολογητή, και μια αλλαγή μετρικής στη μία οικογένεια δεν λέει τίποτα για την άλλη. Ελέγξτε και τις δύο και μετά ελέγξτε το περιβάλλον της εφαρμογής. Μια διεργασία δεσμευμένη σε διεπαφή, ένα namespace container ή ένα VPN ανά εφαρμογή μπορεί να βλέπει διαφορετικό πίνακα από το κέλυφός σας.
Επαληθεύστε με το εργαλείο που αναφέρει την απόφαση για τον πραγματικό προορισμό, όχι με την πλήρη λίστα του πίνακα. Αν η επιλεγμένη διαδρομή είναι αυτή που προβλέπει ο σχεδιασμός, σταματήστε. Μια μετρική που δεν είναι ο μικρότερος αριθμός στην οθόνη δεν είναι σφάλμα, και το να την εξαναγκάσετε να είναι η μικρότερη μπορεί να σπάσει τη διαδρομή του τελικού σημείου από την οποία εξαρτάται η σήραγγα.