Twa VPN-klanten tagelyk: wa wint de standertrûte?

Twa VPN-klanten tagelyk draaie is in diskusje oer rûtes, net in privacy-ynstelling. Hokker tunnel de meast spesifike rûte hat, krijt it ferkear, en de oare bliuwt ferbûn mar wurkleas. De bedriuwsgateway sjocht dan in ferbining dy't fan 'e persoanlike útgong komt, wylst de bedriuwsclient op jo masine noch altyd elke adapter sjocht. Beslute hokker fan dy twa feiten fan belang is, is de hiele oefening.

De rûtetabel kiest ien winner

Fetsje de tabel foar en nei't de bedriuwsclient start, en lês de interface-kolom ynstee fan allinnich de bestimming. In gewoane standertrûte fan 'e bûtenste tunnel is maklik te ferpleatsen, om't in /1-pear spesifiker is as /0. It letterlike pear 0.0.0.0/1 en 128.0.0.0/1 beslacht de hiele IPv4-romte yn twa helten en ferslacht elke inkele standertrûte. Nei't it ynstallearre is, docht de bûtenste tunnel noch altyd ferbûn en draacht neat.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Beliedsrouting kin de haadtabel folslein oergean, dus lês sawol de regels as de rûtes. In regel dy't markearre ferkear nei in oare tabel stjoert, wint foar't de haadtabel sels rieplachte wurdt. Sa kin ien applikaasje op 'e fysike keppeling bliuwe wylst al it oare de tunnel brûkt.

ip rule show

Windows beslist it mei metryk

Op Windows is de winner de rûte mei de leechste metryk foar de bestimming, en twa klanten kinne beide in standertrûte mei ferskillende metryk ynstallearje. Lês de tabel en de interface-konfiguraasje tegearre, want de adapter mei de legere metryk is net altyd dejinge dy't jo ferwachtsje. In client dy't ek in interface-metryk ynstelt, kin de standert ferpleatse sûnder ien inkele rûte ta te foegjen. De adapter dy't ferliest bliuwt oan en ûntfangt gewoan neat.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Fergelykje de twa útgongen en neam de interface dy't 0.0.0.0/0 hat. As beide klanten it easkje, besloot de metryk, en dêrom kin in test fan 'e ferbiningsfolchoarder op ferskate masines net konsekwint lykje. As gjin fan beide útgongen in standertgateway sjen lit, draait de client net yn folsleine tunnel en is it kettingargumint sûnder betsjutting.

Twa waarnimmers, twa ferskillende sichten

De fiere gateway sjocht ien ferbining dy't fan 'e bûtenste útgong komt, plus alles wat de client yn syn tunnel trochjout. De lokale client sjocht adapters, rûtes en it bestean fan in oare tunnel, om't er mei foech rint om dy te meitsjen. It skieden fan dy sichten is it punt; beare dat de client it net fernimme kin is dat net.

Tink dat de client opsomme kin wat er wol, en plan dan foar de sicht fan 'e gateway. In ûntwerp dat ôfhinget fan in bline client is ien bywurking fan brekken ôf.

DNS en IPv6 binne wêr't de ketting lekt

DNS folget hokker resolver-ynstelling dan ek wint, en dat is net needsaaklik it paad dat de pakketten nimme. In bedriuwsresolver berikt fia de bedriuwstunnel is konsistint mei it ûntwerp; in lokale resolver berikt bûten dy is dat net, en hy lit nammen sjen dy't de tunnel ferbergje moast. IPv6 is de twadde lek: in dual-stack host bliuwt IPv6 brûken nei bestimmingen dy't de tunnel allinnich oer IPv4 draacht. Kontrolearje de famyljes apart, want in tunnel allinnich foar IPv4 seit neat oer IPv6-rûtes of -resolvers.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Reparearje de resolver en de IPv6-rûte mei opsetsin ynstee fan in twadde tunnel der boppe op te steapeljen. Dûbele ynkapseling kostet ek MTU, dus in lytsere ynderlike MTU is it earste dat jo besykje moatte as siden fêstrinne neidat de ketting omheech kommen is. In resolver dy't fluch antwurdet is gjin bewiis dat it de juste resolver is.