Gast-VPN en host-VPN: hokker rûte wint echt

Twa klanten rinne tagelyk, elk oertsjûge dat er de standertrûte besit, en it symptoom komt as eat frjemds: ien gasttapassing wurket, in oare wurdt nei it ferkearde plak oplost. In VPN yn in gast en in VPN op de host kinne njonkeninoar bestean, mar allinnich as it bûtenste paad en it binnenste belied it iens binne oer wa’t wat draacht. Beide starte makket op himsels gjin keatling. Skriuw earst de oansluting op en feroarje dan ien ding tagelyk.

Skriuw earst de oansluting fan de gast op

De gast berikt syn VPN-tsjinner fia it paad dat de hypervisor him joech: NAT efter de host, in brêge nei it fysike segmint of in netwurk allinnich foar de host mei routing der boppe-op. Eltse oansluting feroaret wat de gast sjen kin en wat de host mei syn ferkear dwaan kin. Under NAT lykje de pakketten fan de gast fan de host ôf te kommen, dat de eigen tunnel fan de host kin se drage sûnder dat de gast der eat fan wit. Under in brêge hat de gast syn eigen oanwêzigens op it segmint en syn eigen standertgateway.

Skriuw de oansluting op foardat jo oan hokker konfiguraasje dan ek komme, tegearre mei hokker klant hokker tapassing drage moat. Dy sin lost de measte fan dizze gefallen op, om’t de twa klanten meastentiids op ferskate oannames boud binne. In gast dy’t ferwachte wurdt de tunnel fan de host te brûken, mei net ek in konkurrearjende standertrûte fan himsels hawwe.

Folgje it einpunt fan de gast nei bûten

In gast-VPN hat in brûkber paad nei syn eigen tsjinner nedich foardat eat oars wurkje kin. As de tunnel fan de host omheech is en de gast sit efter NAT, ferlit de hânskud fan de gast de tunnel fan de host, wat of it ûntwerp is of in ûngelok dat nimmen dokumintearre hat. As de tunnel fan de host falt en de gast wie der fan ôfhinklik, ferliest de gast ferbining sûnder ien feroaring oan syn kant. It einpunt nei bûten folgje fertelt jo hokker fan dy twa jo echt hawwe.

In brede rûte yn beide konteksten fangt ferkear dat de oare klant ferwachte. In 0.0.0.0/0-rûte yn de gast en in host-klant mei folsleine tunnel easkje beide alles, en wa’t it lêst jildt, wint. Oerlaap tusken de firtuele netwurken fan de gast, it lokale LAN en fiere netwurken jouwe itselde effekt foar partikuliere prefiksen, mei flaters dy’t op autentikaasjeproblemen lykje; it gedrach fan adresoersettting is itselde dat beskreaun is foar container-netwurken.

Fergelykje in opname foar en nei

Nim in basisline mei de tunnel fan de host út, of yn hokker kontrolearre steat jo belied dan ek tastiet, en skriuw de rûte en resolver fan de gast op. Pas dan de kombinearre konfiguraasje ta en fergelykje de twa opnames, wylst de privacy-easken yntakt bliuwe. As in direkte basisline net passend is, skriuw dy beheining dan yn ’e opname ynstee fan de fergeliking oer te slaan.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

De rûtefrage neamt de interface en it boarneadres dy’t in bepaald bestimming drage soene, en it is de nuttichste iene rigel yn dit ûndersyk. De regellist lit sjen oft beliedsrouting guon bestimmingen troch in twadde tabel stjoert. De útfier fan de resolver lit sjen oft DNS de tunnel fan de gast folge is of op it paad fan de host bleaun is. Rin deselde trije opdrachten foar en nei de feroaring, en it ferskil neamt de skuldige.

Hâld eigendom dúdlik oer werstarts hinne

De beheining fan lokale tagong fan in host-klant kin ferkear nei in firtuele NAT of brêge blokkearje, en dy beheining wurdt geregeld oansjoen foar in probleem mei de oanmeldgegevens fan de gast. Lês it dokumintearre gedrach fan de klant ynstee fan de beheining út te setten om in test te slagjen. Test nei in stipe korreksje de gasttapassing en it flaterbelied dat jo easkje opnij. In host dy’t wer mei súkses ferbynt, bewiist neat oer de rûte of resolver fan de gast.

Beslis hokker kant de standertrûte besit en skriuw dat yn it draaiboek. In werstart fan de gast of in netwurferskowing op de host dy’t it eigendom stilwei omdraait, produsearret in flaterrapport oer in VPN dy’t nea skuld hie. De regeling moat in werstart oerlibje sûnder dat immen him betinkt wrom’t se wurke.