Twa VPN-klanten op ien buroblêd: wat botset en wat wurket

Jo twadde klant ferbynt, de boarnen fan 'e earste stopje mei oplossen, en it ticket seit dat de wurk-VPN de persoanlike ferneatige hat. Der is neat stikken yn 'e sin fan in fout: beide klanten diene wat se ûntwurpen binne foar, en de masine hat mar ien routingstabel. De botsing giet oer fjouwer boarnen dy't elke klant as syn eigen beskôget. Wurkje se yn folchoarder ôf, en de oplossing wurdt meastentiids in ûntwerpkar yn stee fan in reparaasje.

Stap 1: fyn út hokker klant de útgong besit

Lês de hjoeddeiske útgongsbeslissing foardat jo wat feroarje. De rûtesyktocht foar in iepenbier adres fertelt jo hokker ynterface en folgjende hop in pakket no brûke soe, en dat is it antwurd op wa't wûn hat. Fergelykje it mei de ynterfacenammen dy't de klanten oanmakke hawwe, dy't meastentiids de produkt- of protokolnamme drage. As de syktocht nei de tunnel wiist dy't jo net ferwachte hiene, hawwe jo de botsing al fûn.

ip route get 1.1.1.1
ip route show default
route print

Guon klanten ferfange de standertrûte hielendal net; se foegje twa helten ta, ien foar de ûnderste helte fan 'e adresromte en ien foar de boppeste helte, dy't tegearre alles dekke. Dat lit de oarspronklike standertrûte sichtber en lit in hânmjittige reparaasje korrekt lykje wylst ferkear noch altyd troch de tunnel fuortgiet. Lês de metryk en de lingte fan it foarheaksel, net allinnich it bestean fan in standertynfier.

Stop as beide klanten itselde foarheaksel mei deselde metryk opeaskje. De kearn sil ien kieze, en de oare sil ferbûn lykje wylst er neat draacht.

Stap 2: kontrolearje de nameresolver en de oerlaapjende foarheaksels

DNS is de twadde botsing, en it jout in worksaam symptoom: nammen mislearje wylst adressen wurkje. Elke klant triuwt syn eigen resolver troch, en de lêste skriuwer wint foar de folgjende fragen. Freegje de resolvertstsjinst wat it per keppeling brûkt yn stee fan de ynstellingsside fan 'e klant te lêzen.

resolvectl status
Get-DnsClientServerAddress
dig +short intranet.corp.example

Fergelykje dan de privee foarheaksels dy't de twa netwurken brûke. As beide kanten út deselde berik tawize, sil gjin klantkantregeling dat oplosse, om't de masine net sizze kin hokker 10.0.0.0/8-bestimming by hokker tunnel heart. Ien kant moat opnij nûmere of oerset wurde, en dat is in petear mei de netwurkeigners yn stee fan in konfiguraasjeferoaring. Oerlaap is de iene botsing dêr't it earlike antwurd is dat it ûntwerp feroarje moat.

Stop hjir as de foarheaksels oerlaapje. Alles letter yn dizze list giet derfan út dat se dat net dogge.

Stap 3: kies in skiedingspatroan dat hâldt

De betroubere patronen foarkomme dat twa klanten tsjin deselde routingstabel rinne. Ien klant mei in split-tunnelbelied dat beide privee netwurken berikt is it ienfâldichst, mits de bestimmingen net oerlaapje en de eigner fan it belied it iens is. In firtuele masine of in netwurknammeromte is de folgjende stap, om't elk syn eigen tabel en syn eigen resolver krijt.

sudo ip netns add vpn2
sudo ip netns exec vpn2 ip link show
sudo ip netns exec vpn2 curl -sI https://intranet.corp.example/

In nammeromte jout deselde skieding as in firtuele masine sûnder it twadde bestjoeringssysteem, mar it hat rûge rânen: it tunnelapparaat moat der yn ferpleatst wurde, en de applikaasje moat der binnen starten. In apart fysyk apparaat is faak de minst ferrasende opsje foar in persoanlike VPN njonken in beheard wurkklant. Ien tunnel yn in oare stapelje is gjin skiedingspatroan; it binnenste einpunt moat berikber bliuwe fia de bûtenste tunnel, en de regeling foeget dêr MTU- en fertragingsproblemen oan ta.

Kies ien patroan en skriuw op wêrom. In nammeromte foar ien applikaasje minge mei in split-tunnel foar de rest skept de oarspronklike botsing opnij yn in hurder te debuggen foarm.

Stap 4: ferifiearje beide netwurken fan deselde sesje

Test ien boarne op elk privee netwurk fan 'e omjouwing wêr't de applikaasje echt rint, net fan jo skulp as de app binnen in nammeromte rint. Kontrolearje de útgongsynterface, it oploste adres en de antwurdkoade tagelyk, om't in sukses yn ien fan 'e trije in flater yn 'e oaren ferbergje kin. Werhelje nei in werstart, om't de folchoarder wêryn't klanten starte beslûtet wa't wint. Krekt dy folchoarder fergete minsken op te skriuwen.

curl -sI https://intranet.corp.example/
curl -sI https://files.personal.example/
ip route get 10.20.30.40

Skriuw de klantferzjes, de ynterfaces, de steat fan 'e resolver en de foarheaksels foar elk netwurk op. As in klant bywurket en syn rûtegedrach feroaret, is dy registraasje it ferskil tusken in reparaasje fan fiif minuten en in weropbou. De folgjende persoan dielt jo ûnthâld net oer hokker tunnel earst omheech kaam.

De list is folslein as jo de ynterface neame kinne dy't de standertrûte besit, de resolver dy't elke namme brûkt, it patroan dat de twadde tunnel skiedt, en it resultaat fan ien fersyk per netwurk nei in werstart. Alles minder is in konfiguraasje dy't hjoed tafallich wurket.