Bi VPN bezero aldi berean: nork irabazten du ibilbide lehenetsia?

Bi VPN bezero aldi berean exekutatzea ibilbideratze eztabaida da, ez pribatutasun ezarpena. Ibilbide zehatzena duen tunelak jasotzen du trafikoa, eta besteak konektatuta baina geldirik jarraitzen du. Korporazio atebideak orduan irteera pertsonaletik datorren konexio bat ikusten du, zure makinako bezero korporatiboak oraindik adapter guztiak ikusten dituen bitartean. Bi gertaera horietatik zein den garrantzitsua erabakitzea da ariketa osoa.

Ibilbide taulak irabazle bakarra aukeratzen du

Hartu taula bezero korporatiboa abiarazi aurretik eta ondoren, eta irakurri interfazearen zutabea, ez soilik helburua. Kanpoko tunelaren ibilbide lehenetsi arrunta erraz desplazatzen da, /1 bikotea /0 baino zehatzagoa delako. 0.0.0.0/1 eta 128.0.0.0/1 bikote literalak IPv4 espazio osoa bi erditan estaltzen du eta edozein lehenetsi bakarra gainditzen du. Instalatu ondoren, kanpoko tunelak konektatuta jarraitzen du eta ez du ezer eramaten.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Politika bidezko ibilbideratzeak taula nagusia erabat gaindi dezake, beraz irakurri arauak zein ibilbideak. Trafiko markatua beste taula batera bidaltzen duen arauak taula nagusia kontsultatu aurretik irabazten du. Horrela aplikazio batek esteka fisikoan jarrai dezake, gainerako guztiak tunela erabiltzen duen bitartean.

ip rule show

Windows-ek metrikekin erabakitzen du

Windows-en irabazlea helmugarako metrikarik baxuena duen ibilbidea da, eta bi bezerok metrika desberdinekin instala dezakete ibilbide lehenetsia. Irakurri taula eta interfazearen konfigurazioa elkarrekin, metrika baxuagoa duen adapterra ez baita beti espero duzuna. Interfaze metrika ere ezartzen duen bezero batek lehenetsia mugi dezake ibilbide bakarra ere gehitu gabe. Galtzen duen adapterra martxan geratzen da eta besterik gabe ez du ezer jasotzen.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Konparatu bi irteerak eta izenda ezazu 0.0.0.0/0 duen interfazea. Bi bezeroek aldarrikatzen badute, metrikak erabakitzen du, eta horregatik konexio ordenaren proba desberdin gerta daiteke makinen artean. Irteeretako inork ate lehenetsirik erakusten ez badu, bezeroa ez dabil tunel osoan eta katearen argudioak ez du zentzurik.

Bi begirale, bi ikuspegi desberdin

Urrutiko atebideak kanpoko irteeratik datorren konexio bat ikusten du, gehi bezeroak bere tunelera birbidaltzen duena. Tokiko bezeroak adapterrak, ibilbideak eta beste tunel baten existentzia ikusten ditu, horiek sortzeko pribilegioekin exekutatzen delako. Ikuspegi horiek bereiztea da kontua; bezeroak ezin duela ohartu esatea ez da.

Egin dezala bezeroak nahi duena zerrendatu, eta planifikatu atebidearen ikuspegirako. Bezeroa itsu jarraitzearen mende dagoen diseinua eguneratze bakarrera dago haustetik.

DNS eta IPv6 dira katea ihes egiten duen lekuak

DNS irabazten duen resolver ezarpenari jarraitzen dio, eta hori ez da nahitaez paketeek hartzen duten bidea. Korporazio tunelaren bidez iristen den resolver korporatiboa koherentea da diseinuarekin; haren kanpotik iristen den resolver lokala ez, eta tunelak ezkutatu behar zituen izenak agerian uzten ditu. IPv6 da bigarren ihesa: pila bikoitzeko ostalariak IPv6 erabiltzen jarraitzen du tunelak IPv4 bidez soilik eramaten dituen helmugetara. Egiaztatu familiak bereizita, IPv4 soilik duen tunelak ezer esaten ez baitu IPv6 ibilbide edo resolverrei buruz.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Konpondu resolverra eta IPv6 ibilbidea nahita, bigarren tunel bat gainean pilatu beharrean. Kapsulatze bikoitzak MTU ere kostatzen du, beraz barne MTU txikiagoa da katea altxatu ondoren orrialdeak trabatzen direnean lehen probatu beharrekoa. Azkar erantzuten duen resolverra ez da zuzena den froga.