Deux clients VPN à la fois : lequel gagne la route par défaut ?

Faire tourner deux clients VPN à la fois relève du débat de routage, pas d’un réglage de confidentialité. Le tunnel qui possède la route la plus spécifique reçoit le trafic, et l’autre reste connecté mais inactif. La passerelle d’entreprise voit alors une connexion arriver depuis la sortie personnelle, tandis que le client d’entreprise sur votre machine voit toujours chaque adaptateur. Décider laquelle de ces deux réalités compte, c’est tout l’exercice.

La table de routage choisit un seul gagnant

Capturez la table avant et après le démarrage du client d’entreprise, et lisez la colonne d’interface plutôt que la seule destination. Une route par défaut simple issue du tunnel extérieur se déplace facilement, car une paire /1 est plus spécifique que /0. La paire littérale 0.0.0.0/1 et 128.0.0.0/1 couvre tout l’espace IPv4 en deux moitiés et bat toute route par défaut unique. Une fois installée, le tunnel extérieur apparaît toujours connecté et ne transporte rien.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Le routage par politique peut outrepasser entièrement la table principale, lisez donc les règles autant que les routes. Une règle qui envoie le trafic marqué vers une autre table gagne avant même que la table principale soit consultée. C’est ainsi qu’une application peut rester sur le lien physique pendant que tout le reste utilise le tunnel.

ip rule show

Windows tranche avec les métriques

Sous Windows, le gagnant est la route dont la métrique est la plus faible pour la destination, et deux clients peuvent tous deux installer une route par défaut avec des métriques différentes. Lisez la table et la configuration d’interface ensemble, car l’adaptateur à la métrique la plus basse n’est pas toujours celui que vous attendez. Un client qui définit aussi une métrique d’interface peut déplacer la route par défaut sans ajouter la moindre route. L’adaptateur qui perd reste actif et ne reçoit tout simplement rien.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Comparez les deux sorties et nommez l’interface qui possède 0.0.0.0/0. Si les deux clients la revendiquent, la métrique décide, et c’est pourquoi un test d’ordre de connexion peut sembler incohérent d’une machine à l’autre. Si aucune des deux sorties n’affiche de passerelle par défaut, le client ne tourne pas en tunnel complet et l’argument de la chaîne tombe à l’eau.

Deux observateurs, deux vues différentes

La passerelle distante voit une connexion arriver depuis la sortie extérieure, plus tout ce que le client transmet dans son tunnel. Le client local voit des adaptateurs, des routes et l’existence d’un autre tunnel, parce qu’il s’exécute avec les privilèges pour les créer. Séparer ces vues est le but ; affirmer que le client ne peut pas s’en apercevoir ne l’est pas.

Supposez que le client puisse énumérer ce qu’il veut, et planifiez plutôt pour la vue de la passerelle. Une conception qui dépend du fait que le client reste aveugle est à une mise à jour de la rupture.

DNS et IPv6 sont là où la chaîne fuit

Le DNS suit le réglage de résolveur qui gagne, et ce n’est pas nécessairement le chemin que prennent les paquets. Un résolveur d’entreprise atteint par le tunnel d’entreprise est cohérent avec la conception ; un résolveur local atteint en dehors ne l’est pas, et il expose des noms que le tunnel était censé cacher. IPv6 est la seconde fuite : un hôte double pile continue d’utiliser IPv6 vers des destinations que le tunnel ne transporte qu’en IPv4. Vérifiez les familles séparément, car un tunnel IPv4 uniquement ne dit rien des routes ou des résolveurs IPv6.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Corrigez le résolveur et la route IPv6 délibérément au lieu d’empiler un second tunnel par-dessus. La double encapsulation coûte aussi de la MTU, donc une MTU interne plus petite est la première chose à essayer lorsque les pages se bloquent après la mise en place de la chaîne. Un résolveur qui répond vite n’est pas la preuve que c’est le bon.