Miksi sovittimien järjestys ei ratkaise laboratorion VPN-reittiä

Se, että sovitin 1 on hypervisorin luettelossa ensimmäisenä, on vain näyttöjärjestys, eikä vieraan reititystaulu lue sitä. Reitin ratkaisevat etuliite, mittari ja mikä tahansa käytäntösääntö, joka pätee ennen kumpaakin. Siksi sillattu sovitin laboratorio-VM:ään voi luoda toisen oletusreitin, kun vanha NAT-liitäntä näkyy edelleen olemassa olevana ja toiseksi numeroituna. Tuloksena on VM, joka joskus käyttää tunnelia ja joskus ei, ilman mitään kokoonpanomuutosta, joka sen selittäisi.

Kolme ehtoa ratkaisevat reitin

Kolme ehtoa ovat: mikä etuliite on tarkempi, mitä mittarit tekevät etuliitteiden ollessa tasan, ja mitkä säännöt vieras otti käyttöön laitemuutoksen jälkeen. Jokaiseen voi vastata yhdellä komennolla, eikä mikään niistä liity hypervisorin numerointiin.

Juuri viimeinen kohta on päätös: jos et pysty sanomaan, mikä etuliite voittaa VPN-päätepisteen oman osoitteen kohdalla, sinulla ei ole reitityskäytäntöä, vaan topologia, joka sattuu toimimaan tänään.

Ensimmäinen ehto: mikä etuliite voittaa

Reitti osoitteeseen 10.8.0.0/24 voittaa oletusreitin sen sisällä olevalle osoitteelle riippumatta mittareista ja sovittimien järjestyksestä. Siksi tietyn reitin asentava VPN-asiakas jatkaa toimintaansa, vaikka toinen sovitin ilmestyisi pienemmällä mittarilla: tarkkuus voittaa ennen kuin kustannusta harkitaan. Tarkista komennolla ip route show taulu, jonka uskot olevan käytössä, ja komennolla ip route get 203.0.113.9 vastaus, jonka ydin todella antaisi tietylle kohteelle.

Päätepisteen oma osoite on tärkein testi. Jos VPN-palvelimen osoite ratkeaa äskettäin lisätyn sillatun sovittimen kautta, tunnelia ei ehkä koskaan muodosteta, tai se muodostetaan ja menettää sitten oman kuljetusreittinsä. Kysy nimenomaan tuota osoitetta sen sijaan, että olettaisit tunneliliitännän olevan vastaus.

Toinen ehto: mitä mittari tekee ja mitä ei

Sen rooli on kapeampi kuin useimmat odottavat. Mittarit ratkaisevat tasapelin samaan etuliitteeseen menevien reittien välillä; ne eivät anna laajemman reitin voittaa tarkempaa. Tasapelissä pienempi luku on suositumpi, ja eri käyttöjärjestelmät laskevat vastakkaisiin suuntiin, minkä vuoksi Linuxin ja Windowsin välillä kopioidut ohjeet ovat usein itsensä kanssa ristiriidassa.

Vieraassa ip route show tulostaa mittarin jokaisen reitin viereen, ja Windowsissa Get-NetRoute tulostaa InterfaceMetric-arvon sekä reittimittarin. Lue molemmat, koska tehollinen suositus voi olla summa eikä yksi kenttä. Jos oletusreittejä on kaksi, se on löydös: vieraalla on kaksi ulospääsyä, ja kumpi voittaa, on lukujen funktio, joita laitemuutos voi muuttaa.

Kolmas ehto: mitä vieras todella otti käyttöön

Kokoonpano ei ole sama asia kuin käytössä oleva tila. Liitäntöjen nimet eivät ole vakaita laitemuutoksissa kaikilla alustoilla, ja nimellä täsmännyt kokoonpano ei ehkä nyt päde mihinkään.

Tarkista käytössä oleva tila, älä aiottu. ip -br link näyttää liitännät, jotka ovat nyt olemassa, ja NetworkManager-isännässä nmcli connection show näyttää, mikä profiili on sidottu mihinkin laitteeseen. Profiili, jota ei saatu sidottua, jättää liitännän ylös ilman osoitusta, mikä näyttää reititysongelmalta ja on nimeämisongelma. Palautetut tilannekuvat pahentavat tätä, koska vieraan tallennettu tila voi viitata sovittimien identiteetteihin, joita uusi laitteisto ei enää tarjoa.

Pidä laboratorion topologia toistettavana

Tallenna aiotut virtuaaliverkkoliitännät vieraan kokoonpanon rinnalle, jotta roolin ja sovittimen vastaavuus on kirjoitettu eikä luettelon sijainnista päätelty.

Neljä roolia riittää yleensä nimeämiseen: yksityinen linkki, hallinta, ulkoinen kuljetus ja tunneli. Jokaisen tulisi tiedostossa vastata tiettyä sovitinta ja tiettyä vieraan liitäntää.

Testaa sitten varsinainen sovellus laitemuutoksen, uudelleenkäynnistyksen tai palautetun tilannekuvan jälkeen ja sisällytä VPN-päätepisteen reitti tuohon testiin. Jos yhdyskäytävä-VM:n on tarkoitus olla ainoa ulospääsy, varmista, ettei testi-VM:llä ole tahatonta toista oletusreittiä, koska sillattu sovitin lisää juuri toisen oletusreitin. Testaa vieraasta, älä hypervisorin konsolista, sillä ne kaksi voivat olla eri mieltä siitä, mikä liitäntä on mikä.

VirtualBoxin verkkodokumentaatio kuvaa sovitintilat ja mihin kukin liittyy, ja se on se osa, joka kannattaa lukea ennen toisen lisäämistä. Laboratorio, joka tunnistaa, mikä sovitin palvelee mitäkin roolia, tekee reittimuutoksesta selitettävän. Laboratorio, joka luottaa hypervisorin numerointiin, tekee jokaisesta muutoksesta kokeen.