Wêrom't route-nopull allinnich de triemtsjinner ûnberikber lit
Pushte rûtes negearje is de helte fan in splitstunnel. Kies de rûte-eigner, foegje it kantoarprefiks mei de hân ta, en test trije streamen foardat jo it oplost neame.
De triemtsjinner iepenet goed, en de fideo-oprop yn it neistlizzende finster begjint te stotterjen. Neat is stadich en gjin MTU is ferkeard: jo klant naam de rûtelist oan dy't de tsjinner him joech, dat elk pakket giet no troch de kantoarfirewall. De oplossing is net noch in ôfstelflagge mar in beslút oer wa't de rûtetabel fan de klant hat. Dat beslút heart op ien plak, en de flaterwizen hjirûnder fertelle jo hokker plak jo eins keazen hawwe.
Beslute wa't de rûtetabel hat
Trije eigners binne mooglik. De tsjinner kin rûtes en in standertgateway pushe, en dan ynstallearret de klant wat him sein wurdt en wurdt in folsleine tunnel. It klantprofyl kin eigendom nimme troch pushes fuort te smiten en syn eigen rûtelineen te dragen. In buroblêdferbiningsbehearder kin it beslút ek hawwe fia syn eigen rûte- en standertrûte-eigenskippen.
Elke kar falt op in oare wize, dêrom is it de muoite wurdich de tabel te lêzen foardat jo in profyl bewurkje. De rige dy't by jo symptoom past is de eigner dy't jo eins hawwe.
| Owner | Where it lives | Result |
|---|---|---|
| Server | server config, redirect-gateway, pushed routes | client becomes a full tunnel |
| Profile | route-nopull and its own route lines | tunnel up, office prefix missing |
| Manager | never-default plus its own routes | desktop decides, profile ignored |
Kies ien en skriuw it op. Twa trochinoar smite lit in host efter wêrfan't it standertpaad tsjin syn eigen dokumintaasje yngiet, en de folgjende yngenieur kin net sjen hokker laach wûn hat. Smyt de ferliezer eksplisyt fuort.
route-nopull filteret pushes, it foeget gjin rûtes ta
route-nopull heart yn it klantprofyl, en syn folchoarder yn dat bestân is net fan belang omdat it allinnich wearden fuortsmiten dy't fan de tsjinner komme. It smyt pushte rûtes fuort, ynklusyf in pushte standertrûte, wylst de tunnel noch altyd normaal omheech komt.
It gefolch dat minsken misse is dat pushte DHCP-opsjes dermei geane. DNS-ynstellingen dy't de tsjinner stjoert wurde ek fuortsmiten, dat ynterne nammen hâlde op mei oplossen sels as de tunnel sûn is en de tsjinner berikber is op adres.
Dat lit in tunnel efter sûnder paad nei it kantoarprefiks, útsein as jo der sels ien tafoegje: route-nopull folge troch route 10.30.0.0 255.255.0.0 yn itselde profyl. Dy rigel draacht in adres en in masker; hy neamt gjin folgjende hop.
In alternative foarm foeget in gateway-token ta, route 10.30.0.0 255.255.0.0 vpn_gateway, dat de yngong by namme nei de tunnel wiist. Ymporteurs ferskille yn oft se dy fariant oersette, besjoch dus de bewarre ferbining as de yngong ûntbrekt yn 'e kerneltabel.
Kontrolearje mei rûtesykjen, net mei in ping
In ping fertelt jo dat der wat antwurde. In rûtesykjen fertelt jo hokker ynterface de kernel kieze soe, en dat is de fraach dy't jo eins stelden. Fjouwer koarte opdrachten skiede in ûntbrekkende rûte fan in rûte dy't nei it ferkearde apparaat wiist.
Lês wat de tunnel ynstallearre hat mei ip route show dev tun0. Gjin útfier hielendal betsjut nul rûtes, wat gjin splitstunnel is dy't wurket, en it is de gewoane útkomst fan it tafoegjen fan it filter sûnder de eksplisite rigel.
Kontrolearje dan ien kantoaradres mei ip route get 10.30.5.7, en ien gewoan ynternetadres mei ip route get 1.1.1.1. De twadde moat de fysike ynterface neame; as er de tunnel neamt, is de push hielendal net filtere.
Lês op 't lêst ip rule, want in beliedsregel dy't in eardere poging efterlitten hat kin de tabel dy't jo krekt ferbettere hawwe oerskriuwe. In korrekt profyl mei in ferâldere regel derop liket krekt op in stikken profyl. Smyt de regel fuort dy't jo de foarige kear tafoege hawwe foardat jo in oare tafoegje.
Oerlaapjende subnetten lykje op in stikken tunnel
Twa partikuliere berikken kinne identyk wêze fanút it eachpunt fan 'e klant, en dêr wurdt in splitstunnel beskuldige fan wat er net feroarsake hat. As it kantoar itselde prefiks jout dat jo thúsrûter brûkt, dan dekt de tunnelrûte de rûter en it thúsnetwurk liket te ferdwinen.
Fergelykje it adres op jo eigen ynterface mei de rûte dy't it profyl ynstallearret, mei in gewoane adreslist foardat jo wat feroarje. De oerlaap is echt, en gjin profylopsje lost it op. Wat jo ferbetterje kinne is de nammejouwing, dat de folgjende persoan twa berikken sjocht ynstee fan ien.
De earlike oplossings binne ien kant op 'e nij nûmerje of adressen op it kantoar oersette. Ien hostrûte oan 'e rûter fêstsette wurket oant it rûteradres feroaret, en dan wurdt it in twadde riedsel boppe op it earste.
Lit it beslút in werferbining oerlibje
Yngongen dy't mei de hân typt binne, oerlibje gjin werferbining, en in ferbiningsbehearder bout de tabel elke kear as it profyl begjint op 'e nij. Set it beslút dêr't de ferbining makke wurdt, itsij it profyl of de bewarre ynstellingen fan 'e behearder. Start de ferbining dan ien kear mei opsetsin op 'e nij ynstee fan it gedrach by in oprop te ûntdekken. In profyl dat allinnich oant de folgjende werferbining wurket is net klear.
Oefenje trije paden tagelyk: in kantoarhost op it letterlike adres, deselde host op namme, en in gewoane iepenbiere side. De middenste hinget ôf fan 'e nammetsjinst dy't jo konfigurearre hawwe nei't jo de pushte DNS-opsjes falle lieten, en dat is dejinge dy't stil mislearret.