VPN-i marsruudi mõõdik muutus pärast ühendamist: mida see tähendab
Väiksem mõõdik lahendab ainult võrdsete, sama spetsiifiliste marsruutide vahelise viigi. Lugege poliitikareeglit, prefiksit ja lõpp-punkti host-marsruuti enne, kui muudate ükskõik millist VPN-i marsruudi numbrit.
Ühendate VPN-i, käivitate route print ja vaikimisi marsruut kannab nüüd palju väiksemat mõõdikut kui varem. Loomulik järeldus on, et VPN võttis vaikimisi marsruudi üle, sest selle number on väiksem. Mõnikord juhtuski täpselt nii. Sageli ei ole mõõdik üldse otsustav tegur ja selle muutmine ei muuda midagi, sest valik tehti varem, prefiksi pikkuse või poliitikareegli järgi.
Sümptom on tõeline: liiklus, mis varem väljus Wi-Fi-adapteri kaudu, väljub nüüd tunnelist, või vastupidi. Mõõdik on üks sisend otsingusse, mis töötab kindlas järjekorras, ja just seda järjekorda tuleb lugeda enne, kui numbrit puudutate.
Millega number tegelikult võistleb
Esimene võrdlus on spetsiifilisus, mitte eelistus. Marsruut 10.20.0.0/16 võidab 10.0.0.0/8 ja mõlemad võidavad 0.0.0.0/0, ükskõik mida nende mõõdikud ütlevad. VPN, mis paigaldab masinasse madalaima mõõdikuga vaikimisi marsruudi, kaotab ikkagi igale spetsiifilisemale marsruudile, mis sihtkohaga sobib, sealhulgas host-marsruudile, mille klient paigaldab oma serveri jaoks.
Seetõttu ei saa vaikimisi marsruudi mõõdiku langetamine sundida otse ühendatud alamvõrku tunnelisse. Kui tahate seda alamvõrku VPN-i sees, lisage prefiksile marsruut või valige tunnelitabel poliitikareegliga. Mõõdik on selle töö jaoks vale hoob.
| Check in this order | Question | Where you read it |
|---|---|---|
| 1. Policy and table | Which routing table does this traffic use? | ip rule, client profile |
| 2. Prefix length | Which matching route is most specific? | route print, ip route |
| 3. Metric | Which of the equally specific routes is preferred? | route print, ip route |
| 4. Interface state | Is the chosen next hop reachable? | adapter status, link state |
Linux otsustab tabeli enne mõõdikut
Linuxis konsulteerib kernel kõigepealt poliitikaandmebaasiga. ip rule loetleb reeglid ja tabelid, mille need valivad, ja ip route get 203.0.113.10 teatab tabeli, marsruudi ja lähteaadressi, mida kernel selle sihtkoha jaoks tegelikult kasutaks. Tabeli 100 sisene mõõdik ei võistle kunagi põhitabeli marsruudiga, sest reegel valis tabeli enne, kui ühtegi mõõdikut võrreldi.
Seetõttu võib marsruut vaadata ip route show table all-s õige välja ja ikkagi liiklust mitte kanda. Lugege reeglit, mis sobis, seejärel tabelit, mille see valis, seejärel võrrelge marsruute selle sees. Kui on valitud vale tabel, ei aita ükski mõõdiku muudatus teises tabelis.
Windows ühendab kaks mõõdikut
Windowsil ei ole vaikimisi poliitikaandmebaasi, kuid see ühendab marsruudi mõõdiku liidese mõõdikuga ja automaatne liidese mõõdik võib muutuda lingi kiiruse ja adapteri olekuga. Seetõttu võib sama marsruut käituda teisiti pärast dokkimisjaama või virtuaalse adapteri ilmumist. Find-NetRoute -RemoteIPAddress 203.0.113.10 teatab valitud lähteaadressi, järgmise hüppe ja liidese, mis on tegelikule otsusele lähemal kui toores tabel.
Lugege marsruudi ja liidese väärtusi koos. Liidese mõõdiku tõstmine võib liiklust liigutada ilma, et ükski marsruudikirje muutuks, ja VPN-klient, kes omab oma marsruute, paigaldab need uuesti ühendamisel ja viskab teie muudatuse kõrvale.
Hoidke tunneli lõpp-punkt tunnelist väljas
Iga tunnel vajab teed oma serverini, mis ei läbi tunnelit. Kliendid paigaldavad lõpp-punkti jaoks host-marsruudi füüsilise lüüsi kaudu ja see marsruut peab jääma spetsiifilisemaks kui vaikimisi marsruut, mille klient lisab. Kustutage see või laske tunnelil selle aadressi otsing võita, ja kapseldatud paketid üritavad siseneda tunnelisse, mille nad peaksid alles ehitama. Ühendus ebaõnnestub või läheb silmusesse.
Kontrollige seda host-marsruuti enne ja pärast igasugust mõõdiku muudatust: see peaks osutama füüsilisele järgmisele hüppele ja üle elama uuesti ühendamise. Kui klient seda omab, muutke profiili või hallatavat konfiguratsiooni, mitte käitusaegset väärtust, mis kirjutatakse üle.
Kontrollige mõlemat aadressiperekonda ja rakenduse konteksti
IPv4 ja IPv6 on eraldi otsused eraldi tabelitega. VPN võib kanda IPv4-t, samal ajal kui IPv6 jätkab kohaliku ruuteri kasutamist, ja mõõdiku muutus ühes perekonnas ei ütle teise kohta midagi. Kontrollige mõlemat, seejärel kontrollige rakenduse konteksti. Liidesega seotud protsess, konteineri nimeruum või rakendusepõhine VPN võib näha teistsugust tabelit kui teie shell.
Kontrollige tööriistaga, mis teatab otsuse tegeliku sihtkoha jaoks, mitte kogu tabeliloendi põhjal. Kui valitud marsruut on see, mida disain ette näeb, lõpetage. Mõõdik, mis ei ole ekraanil väikseim number, ei ole viga, ja selle väikseimaks sundimine võib katki teha lõpp-punkti tee, millest tunnel sõltub.