VPN-reitin metriikka muuttui yhteyden jälkeen: mitä se tarkoittaa
Pienempi metriikka ratkaisee vain tasapelin yhtä tarkkojen reittien välillä. Lue käytäntösääntö, etuliite ja päätepisteen isäntäreitti ennen kuin muutat mitään VPN-reittinumeroa.
Yhdistät VPN:n, ajat route print -komennon, ja oletusreitillä on nyt paljon pienempi metriikka kuin ennen. Luonteva johtopäätös on, että VPN otti oletusreitin, koska sen numero on pienempi. Joskus juuri niin kävi. Usein metriikka ei ole lainkaan ratkaiseva tekijä, eikä sen muuttaminen muuta mitään, koska valinta tehtiin aiemmin, etuliitteen pituuden tai käytäntösäännön perusteella.
Oire on todellinen: liikenne, joka ennen lähti Wi-Fi-sovittimen kautta, lähtee nyt tunnelin kautta, tai päinvastoin. Metriikka on yksi syöte haussa, joka suoritetaan kiinteässä järjestyksessä, ja juuri se järjestys on luettava ennen kuin kosket numeroa.
Minkä kanssa numero oikeasti kilpailee
Ensimmäinen vertailu on tarkkuus, ei mieltymys. Reitti 10.20.0.0/16 voittaa 10.0.0.0/8:n, ja molemmat voittavat 0.0.0.0/0:n, mitä niiden metriikat sanovatkin. VPN, joka asentaa koneelle alimman metriikan oletusreitin, häviää silti jokaiselle tarkemmalle reitille, joka vastaa kohdetta, mukaan lukien isäntäreitti, jonka asiakas asentaa omalle palvelimelleen.
Siksi oletusreitin metriikan laskeminen ei voi pakottaa suoraan kytkettyä aliverkkoa tunneliin. Jos haluat sen aliverkon VPN:n sisään, lisää reitti etuliitteelle tai valitse tunnelitaulu käytäntösäännöllä. Metriikka on väärä vipu siihen työhön.
| Check in this order | Question | Where you read it |
|---|---|---|
| 1. Policy and table | Which routing table does this traffic use? | ip rule, client profile |
| 2. Prefix length | Which matching route is most specific? | route print, ip route |
| 3. Metric | Which of the equally specific routes is preferred? | route print, ip route |
| 4. Interface state | Is the chosen next hop reachable? | adapter status, link state |
Linux päättää taulusta ennen metriikkaa
Linuxissa ydin tarkistaa ensin käytäntötietokannan. ip rule luettelee säännöt ja taulut, jotka ne valitsevat, ja ip route get 203.0.113.10 ilmoittaa taulun, reitin ja lähdeosoitteen, joita ydin todella käyttäisi kyseiselle kohteelle. Taulun 100 sisäinen metriikka ei koskaan kilpaile päätalulun reitin kanssa, koska sääntö valitsi taulun ennen kuin yhtään metriikkaa verrattiin.
Siksi reitti voi näyttää oikealta ip route show table all-komennossa eikä silti kuljeta liikennettä. Lue sääntö, joka täsmäsi, sitten taulu, jonka se valitsi, ja vertaa sitten sen sisäisiä reittejä. Jos väärä taulu on valittu, mikään metriikan muokkaus toisessa taulussa ei auta.
Windows yhdistää kaksi metriikkaa
Windowsilla ei ole oletuksena käytäntötietokantaa, mutta se yhdistää reittimetriikan liitännän metriikkaan, ja automaattinen liitännän metriikka voi muuttua linkin nopeuden ja sovittimen tilan mukaan. Siksi sama reitti voi käyttäytyä eri tavoin, kun telakointiasema tai virtuaalinen sovitin ilmestyy. Find-NetRoute -RemoteIPAddress 203.0.113.10 ilmoittaa valitun lähdeosoitteen, seuraavan hypyn ja liitännän, mikä on lähempänä todellista päätöstä kuin raakataulu.
Lue reitin ja liitännän arvot yhdessä. Liitännän metriikan nostaminen voi siirtää liikennettä ilman, että yksikään reittimerkintä muuttuu, ja VPN-asiakas, joka omistaa reittinsä, asentaa ne uudelleen yhdistäessään ja hylkää muokkauksesi.
Pidä tunnelin päätepiste tunnelin ulkopuolella
Jokainen tunneli tarvitsee polun omaan palvelimeensa, joka ei kulje tunnelin kautta. Asiakkaat asentavat päätepisteelle isäntäreitin fyysisen yhdyskäytävän kautta, ja sen reitin on pysyttävä tarkempana kuin oletusreitti, jonka asiakas lisää. Poista se tai anna tunnelin voittaa kyseisen osoitteen haku, niin kapseloidut paketit yrittävät päästä tunneliin, joka niiden pitäisi rakentaa. Yhteys epäonnistuu tai menee silmukkaan.
Tarkista se isäntäreitti ennen metriikan muutosta ja sen jälkeen: sen pitäisi osoittaa fyysiseen seuraavaan hyppyyn ja kestää uudelleenyhdistäminen. Jos asiakas omistaa sen, muuta profiilia tai hallittua kokoonpanoa sen sijaan, että muutat ajonaikaista arvoa, joka ylikirjoitetaan.
Tarkista molemmat osoiteperheet ja sovelluksen konteksti
IPv4 ja IPv6 ovat erillisiä päätöksiä erillisine tauluineen. VPN voi kuljettaa IPv4:ää, kun IPv6 käyttää edelleen paikallista reititintä, eikä metriikan muutos yhdessä perheessä kerro toisesta mitään. Tarkista molemmat ja tarkista sitten sovelluksen konteksti. Liitäntään sidottu prosessi, säiliön nimiavaruus tai sovelluskohtainen VPN voi nähdä eri taulun kuin komentotulkki.
Tarkista työkalulla, joka ilmoittaa päätöksen todelliselle kohteelle, ei koko taululuettelolla. Jos valittu reitti on se, jonka suunnittelu on tarkoittanut, lopeta. Metriikka, joka ei ole näytön pienin luku, ei ole vika, ja sen pakottaminen pienimmäksi voi rikkoa päätepisteen polun, josta tunneli riippuu.