Miks kohalik marsruut võidab VPN-i vaikemarsruudi

Laua printer jätkab tööd ka pärast seda, kui tunnel on püsti, samal ajal kui teise kontori server laheneb vaikselt millekski kohalikuks. Mõlemad käitumised tulevad samast reeglist: kõige täpsem marsruut võidab ja otse ühendatud prefiks on nii täpne, kui see olla saab. Tavaliselt on see disain, mida soovite, ja just nii varastab dubleeriv privaatne aadressivahemik kaugaadressi. Kui loete esmalt tuuma valikut, muutub müstiline tõrge prefiksite võrdluseks.

Ühendatud prefiks on täpsem kui vaikemarsruut

Tunnel paigaldab tavaliselt vaikemarsruudi või hulga prefikse, samal ajal kui kohalik liides kannab ühendatud prefiksit ja marsruuti kogu LAN-i. Nende vahel otsustab pikima prefiksi vaste, seega LAN-i prefiksi sees olev sihtkoht ei jõua kunagi tunnelisse. Sellepärast jäävad printer, ruuteri haldusleht ja kohalik NAS kättesaadavaks, kui VPN töötab. Sellepärast läheb ka kattuvas vahemikus olev kaugressurss vale masinasse.

Privaatne aadressiruum ei ole unikaalne ja kahe saidi sama prefiksi valimine on piisavalt tavaline, et sellega arvestada. Kui vahemikud kattuvad, saabub kohalik vastus kiiresti ja tundub autoriteetne, mistõttu on tõrget lihtne valesti lugeda sisselogimisprobleemiks. Sihtkoht vastas küll, lihtsalt mitte see, mida mõtlesite.

Lugege valikut, mille tuum teeks

Küsige tuumalt, millist marsruuti see täpse sihtkoha jaoks kasutaks, selle asemel et tabelit ülalt lugeda. Seejärel otsige poliitikareegleid, mis võiksid valida teise tabeli. Kaks käsku vastavad mõlemale küsimusele mõne sekundiga.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Esimene väljund nimetab liidese, järgmise hüppe ja lähteaadressi, mida tuum kasutaks, ja see on vastus, mis loeb. Väärtus dev, mis osutab kohalikule sillale, tähendab, et pakett ei sisene kunagi tunnelisse, mida iganes VPN-kliendi olekupaneel väidab. Filtreeritud tabeliloend näitab, kas mõni teine tabel hoiab sama prefiksit, ja reegliloend näitab järjekorda, milles neid tabeleid konsulteeritakse. Poliitikareegel võib saata prefiksi kindla tabeli kaudu isegi siis, kui peamine tabel ei ole nõus, seega on see järjekord osa vastusest.

Kohalik juurdepääs on eraldi luba

Marsruudi omamine ei ole sama mis selle kasutamise luba. Enamik kliente saab tunnelipüsti ajal kohaliku võrgusuhtluse blokeerida ja see säte on poliitikaotsus, mitte marsruutimise artefakt. Kui usaldusväärne lähedane teenus kuulub disaini, lülitage sisse toetatud kohaliku juurdepääsu valik, selle asemel et marsruute leiutada. Kui seade on avalikus WiFis, jätke see välja.

Kaks kihti ebaõnnestuvad erinevalt. Blokeeritud kohalik tee annab ajalõpu ka siis, kui marsruut on olemas, samal ajal kui kattuv marsruut annab vastuse valelt hostilt. Nende eristamine maksab ühe päringu ja säästab tulemüüri muudatuste poolt päeva, ja edastuskorraldust kirjeldavad strongSwani märkmed edastamise kohta.

Parandage kattuvus ilma hostimarsruutide kuhjamiseta

Hostimarsruut ühe aadressi jaoks näib kattuvust parandavat ja ebaõnnestub hetkel, mil on vaja teist aadressi samas vahemikus. Kakskümmend neist hiljem ei oska keegi öelda, milline prefiks on autoriteetne. Püsivad lahendused on aadressimise muutmine, dokumenteeritud topoloogia, mis väldib dubleerivat vahemikku, või tõlkimine ühes otsas. Igaüks maksab planeerimisaega üks kord, mitte hooldust igavesti.

Kui ajutine hostimarsruut on tõesti vajalik, kirjutage selle kõrvale põhjus, omanik ja kuupäev, et selle saaks hiljem eemaldada. Seejärel testige täpset aadressi ja teenust pluss avalikku sihtkohta, sest kohaliku juurdepääsu muudatus, mis jätab vaikselt tunnelist välja mitteseotud rakendused, on hullem kui algne viga. Hoidke kohalik prefiks ja kaugprefiks eraldi kirjas; see harjumus takistab töötava kohaliku pingi levitamist tõendina, et kaugkontor on kättesaadav.