Kial loka vojo venkas la defaŭltan vojon de VPN

Presilo sur la skribotablo daŭre funkcias post kiam la tunelo ekfunkcias, dum servilo en la alia oficejo trankvile solviĝas al io loka. Ambaŭ kondutoj venas de la sama regulo: la plej specifa vojo venkas, kaj rekte konektita prefikso estas tiel specifa, kiel eble. Kutime tio estas la dezajno, kiun vi volas, kaj ĝi ankaŭ estas kiel duobla privata gamo ŝtelas malproksiman adreson. Legi unue la elekton de la kerno transformas misteran fiaskon en komparadon de prefiksoj.

Konektita prefikso estas pli specifa ol defaŭlta vojo

Tunelo kutime instalas defaŭltan vojon aŭ aron da prefiksoj, dum loka interfaco portas konektitan prefikson plus vojon al la tuta LAN. Inter ili decidas la kongruo de la plej longa prefikso, do celloko ene de la LAN-prefikso neniam atingas la tunelon. Tial presilo, la administra paĝo de enkursigilo kaj loka NAS restas atingeblaj dum la VPN funkcias. Tial ankaŭ malproksima rimedo ene de koincida gamo iras al la malĝusta maŝino.

Privata adresspaco ne estas unika, kaj du lokoj elektantaj la saman prefikson estas sufiĉe ordinara por plani. Kiam la gamoj koincidas, la loka respondo alvenas rapide kaj aspektas aŭtoritata, do la fiasko facile mislegiĝas kiel ensaluta problemo. La celloko ja respondis, nur ne la intencita.

Legu la elekton, kiun farus la kerno

Demandu la kernon, kiun vojon ĝi uzus por la preciza celloko, anstataŭ legi la tabelon de supre. Poste serĉu politikajn regulojn, kiuj povus elekti alian tabelon. Du komandoj respondas ambaŭ demandojn en kelkaj sekundoj.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

La unua eligo nomas la interfacon, la sekvan salton kaj la fontan adreson, kiujn la kerno uzus, kaj tio estas la respondo, kiu gravas. Valoro dev montranta al la loka ponto signifas, ke la paketo neniam eniras la tunelon, kion ajn asertas la statupaneleo de la VPN-kliento. La filtrita tabela listo montras, ĉu alia tabelo tenas la saman prefikson, kaj la regula listo montras la ordon, en kiu tiuj tabeloj estas konsultataj. Politika regulo povas sendi prefikson tra specifa tabelo eĉ kiam la ĉefa tabelo malkonsentas, do tiu ordo estas parto de la respondo.

Loka aliro estas aparta permeso

Havi vojon ne samas al rajti uzi ĝin. Plej multaj klientoj povas bloki lokan retkomunikadon dum la tunelo funkcias, kaj tiu agordo estas politika decido, ne kromprodukto de enkursigo. Kiam fidinda proksima servo apartenas al la dezajno, ŝaltu la subtenatan lokan aliran opcion anstataŭ elpensi vojojn. Kiam la aparato estas en publika Wi-Fi, lasu ĝin malŝalta.

La du tavoloj fiaskas malsame. Blokita loka vojo produktas tempolimon eĉ kiam la vojo ekzistas, dum koincida vojo produktas respondon de la malĝusta gastiganto. Distingi ilin kostas unu peton kaj ŝparas posttagmezon da fajroŝirmilaj ŝanĝoj, kaj la plusenda aranĝo estas priskribita en la plusendaj notoj de strongSwan.

Riparu koincidon sen amasigi gastigajn vojojn

Gastiga vojo por unu adreso ŝajnas ripari koincidon kaj fiaskas en la momento, kiam necesas dua adreso en la sama gamo. Dudek tiaj poste, neniu povas diri, kiu prefikso estas aŭtoritata. Daŭraj solvoj estas ŝanĝo de adresado, dokumentita topologio, kiu evitas la duoblan gamon, aŭ traduko ĉe unu fino. Ĉiu kostas planadon unufoje anstataŭ prizorgadon por ĉiam.

Se provizora gastiga vojo vere necesas, notu apude la kialon, la posedanton kaj la daton, por ke ĝi povu esti forigita poste. Poste testu la precizan adreson kaj servon plus publikan cellokon, ĉar loka alira ŝanĝo, kiu trankvile ekskludas nerilatajn aplikaĵojn el la tunelo, estas pli malbona ol la origina difekto. Tenu la lokan prefikson kaj la malproksiman prefikson skribitajn aparte; tiu kutimo malhelpas, ke funkcianta loka ping estas plusendata kiel pruvo, ke la malproksima oficejo estas atingebla.