Miksi paikallinen reitti voittaa VPN:n oletusreitin

Työpöydän tulostin jatkaa toimintaansa, kun tunneli nousee, samalla kun toisen toimiston palvelin ratkeaa hiljaa johonkin paikalliseen. Molemmat käytökset tulevat samasta säännöstä: tarkin reitti voittaa, ja suoraan liitetty etuliite on niin tarkka kuin mahdollista. Yleensä se on haluttu suunnittelu, ja juuri niin päällekkäinen yksityinen alue varastaa etäosoitteen. Kun luet ytimen valinnan ensin, mystinen vika muuttuu etuliitteiden vertailuksi.

Liitetty etuliite on tarkempi kuin oletusreitti

Tunneli asentaa yleensä oletusreitin tai joukon etuliitteitä, kun taas paikallinen liitäntä kantaa liitetyn etuliitteen sekä reitin koko LAN-verkkoon. Niiden välillä ratkaisee pisimmän etuliitteen osuma, joten LAN-etuliitteen sisällä oleva kohde ei koskaan päädy tunneliin. Siksi tulostin, reitittimen hallintasivu ja paikallinen NAS pysyvät tavoitettavina, kun VPN on päällä. Siksi myös päällekkäisen alueen sisällä oleva etäresurssi menee väärälle koneelle.

Yksityinen osoiteavaruus ei ole ainutkertainen, ja kahden toimipisteen sama etuliite on tarpeeksi yleistä suunniteltavaksi. Kun alueet menevät päällekkäin, paikallinen vastaus saapuu nopeasti ja näyttää arvovaltaiselta, joten vika luetaan helposti kirjautumisongelmaksi. Kohde vastasi, mutta ei se, jota tarkoitit.

Lue valinta, jonka ydin tekisi

Kysy ytimeltä, mitä reittiä se käyttäisi täsmälliseen kohteeseen, sen sijaan että lukisit taulukkoa ylhäältä. Etsi sitten käytäntösääntöjä, jotka voisivat valita toisen taulun. Kaksi komentoa vastaa molempiin kysymyksiin sekunneissa.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Ensimmäinen tuloste nimeää liitännän, seuraavan hypyn ja lähdeosoitteen, joita ydin käyttäisi, ja se on vastaus, jolla on merkitystä. Arvo dev, joka osoittaa paikalliseen siltaan, tarkoittaa, ettei paketti koskaan mene tunneliin, mitä VPN-asiakkaan tilapaneeli väittääkin. Suodatettu taululuettelo näyttää, pitääkö toinen taulu samaa etuliitettä, ja sääntöluettelo näyttää järjestyksen, jossa noita tauluja kysytään. Käytäntösääntö voi lähettää etuliitteen tietyn taulun kautta vaikka päätauulu olisi eri mieltä, joten se järjestys on osa vastausta.

Paikallinen käyttö on erillinen lupa

Reitin omistaminen ei ole sama kuin lupa käyttää sitä. Useimmat asiakkaat voivat estää paikallisen verkkoliikenteen, kun tunneli on päällä, ja tuo asetus on käytäntöpäätös, ei reitityksen artefakti. Kun luotettu lähellä oleva palvelu kuuluu suunnitteluun, ota käyttöön tuettu paikallisen käytön vaihtoehto sen sijaan, että keksisit reittejä. Kun laite on julkisessa Wi-Fi-verkossa, jätä se pois päältä.

Kaksi kerrosta epäonnistuu eri tavoin. Estetty paikallinen polku aiheuttaa aikakatkaisun, vaikka reitti olisi olemassa, kun taas päällekkäinen reitti antaa vastauksen väärältä isännältä. Niiden erottaminen maksaa yhden kyselyn ja säästää iltapäivän palomuurimuutoksia, ja välitysjärjestely on kuvattu strongSwanin muistiinpanoissa välityksestä.

Korjaa päällekkäisyys ilman isäntäreittien kasaa

Isäntäreitti yhtä osoitetta varten näyttää korjaavan päällekkäisyyden ja pettää heti, kun saman alueen toista osoitetta tarvitaan. Kaksikymmentä niitä myöhemmin kukaan ei osaa sanoa, mikä etuliite on määräävä. Kestävät ratkaisut ovat osoitteistuksen muutos, dokumentoitu topologia, joka välttää päällekkäisen alueen, tai käännös yhdessä päässä. Jokainen maksaa suunnitteluaikaa kerran eikä ylläpitoa ikuisesti.

Jos väliaikainen isäntäreitti todella tarvitaan, kirjaa sen viereen syy, omistaja ja päiväys, jotta se voidaan poistaa myöhemmin. Testaa sitten täsmällinen osoite ja palvelu sekä julkinen kohde, koska paikallisen käytön muutos, joka hiljaa sulkee asiaankuulumattomat sovellukset tunnelin ulkopuolelle, on pahempi kuin alkuperäinen vika. Pidä paikallinen etuliite ja etäetuliite erikseen kirjattuna; tuo tapa estää toimivan paikallisen pingin kiertämisen todisteena siitä, että etätoimisto on tavoitettavissa.