Cén fáth a bhriseann an dara tollán VPN an chéad cheann?

Is é an dara cliant VPN a shuiteáil chun rochtain a fháil ar aon líonra custaiméara an bealach is gnáthaí a thosaíonn sé seo, agus téann an chéad tollán dorcha agus an dá chliant ag tuairisciú rath. Shuiteáil gach cliant ród réamhshocraithe, bhí an dara ceann níos sonraí, agus leanann an t-eithne í anois do gach rud seachas nasc seachtrach an chéad tolláin féin. Níor thit aon rud agus níl aon phróifíl mhícheart. Tháinig ród in ionad a chéile, agus is é an réiteach a chinneadh cé acu tollán ba cheart a bheith ina shealbhóir ar an réamhshocrú.

An tsíomptóm: buann an dara cliant go ciúin

OpenVPN: ní fhorscríobhann an rogha redirect-gateway def1 0.0.0.0/0. Cuireann sé 0.0.0.0/1 agus 128.0.0.0/1 leis: eatarthu clúdaíonn siad gach seoladh IPv4, agus buann gach réimír ar réamhshocrú simplí ó thaobh faid de. Fanann an réamhshocrú bunaidh sa tábla agus stopann sé á úsáid do ghnáththrácht, agus coinníonn ród óstaigh chuig freastalaí VPN an tollán óna phaicéid sheachtracha féin a ghabháil. Déanann an dá chliant é seo, agus suiteálann an dara ceann a phéire níos déanaí.

Sin é an fáth a bhfuil cuma mharbh ar an gcéad tollán seachas dícheangailte. Tá a chomhéadan suas, tá a chainéal rialaithe beo, agus ní shroicheann aon trácht feidhmchláir é a thuilleadh. Tá an push céanna ar iarraidh sa ghearán droim ar ais: de ghnáth labhraíonn fón a nascann ach nach seolann aon rud le freastalaí nár fhógair redirect-gateway riamh, mar sin coinníonn an gléas a réamhshocrú féin agus ní shroicheann sé ach an linn.

Tóg pictiúr ród roimh agus tar éis don dara cliant nascadh. Is iad an dá leathród a fheictear sa tábla an t-athrú ar fad, agus míníonn siad an dá ghearán. Ní gá d'aon rud eile sa tábla bogadh chun an tsíomptóm a thaispeáint. Sin é freisin an fáth a ndéanann baint an dara cliant an chéad cheann a athchóiriú láithreach.

Léigh cé acu tollán a bhuann i ndáiríre

Ná déan an buaiteoir a thuiscint ón ord ina dtosaíonn na cliaint nó ón deilbhín sa tráidire. Fiafraigh den eithne cén ród a úsáidfeadh sé do cheann scríbe lasmuigh den dá líonra phríobháideacha, agus léigh an comhéadan a thagann ar ais.

ip route show
ip route get 198.51.100.24
route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.24

Is iad an chéad dá cheann freagra Linux agus an dá cheann deireanach coibhéis Windows. Rith iad agus an dá thollán suas, ansin dícheangail ceann amháin agus rith arís iad. Is é an difríocht idir an dá aschur an fhíric a theastaíonn uait sula roghnaíonn tú réiteach, agus tógann sé níos lú ama ná logáil aon cheann de na cliaint a léamh.

Taifead an toradh, lena n-áirítear ainm an chomhéadain agus an réimír a mheaitseáil. Is cur síos ar an tsíomptóm é ticéad a deir gur bhris an dara VPN an chéad cheann, ní ráiteas ródálaithe ar féidir le duine ar bith gníomhú air. Déanann an chuardach fíric de ar féidir leis an gcéad innealtóir eile a atáirgeadh in aon ordú amháin.

Windows: cosc ar phróifíl amháin a bheith ina sealbhóir ar an réamhshocrú

Coimeádann Windows próifílí stóráilte, agus ligeann an cliant ionsuite do cheann amháin brath ar cheann eile ionas go n-ardóidh an chéad cheann go huathoibríoch nuair a dhiailíonn an dara ceann. Is gnách go gcoinníonn an phróifíl a nasc go déanaí an réamhshocrú, mar sin is é an diail is déanaí an t-úinéir praiticiúil seachas an chéad cheann. Tabhair a róid push féin do gach próifíl agus cuir split tunneling ar siúl don cheann nár cheart an réamhshocrú a shealbhú.

Set-VpnConnection -Name "Contoso" -SplitTunneling $true
rasdial Contoso

Athraíonn split tunneling sin: ní thagann ach réimírí a bhrúnn an freastalaí isteach sa tábla, rud a fhágann an réamhshocrú ag an gcéad tollán. Teipeann an dearadh fós má bhrúnn an dá fhreastalaí ród réamhshocraithe, óir ansin buann an nasc deireanach agus ní athraíonn aon socrú ar thaobh an chliaint sin. Deisigh an push ar thaobh an fhreastalaí nó glac le húinéir amháin.

Is gné eile iad próifílí a thionscnaíonn feidhmchlár agus is fiú iad a bheith ar eolas: féadann próifíl Windows tosú nuair a sheolann feidhmiúchán ainmnithe, agus socraíonn scagairí tráchta cad a iompraíonn sé. Is socrú próifíle é seo seachas riail balla dóiteáin, agus réitíonn sé fadhb atá difriúil ó choimhlint an réamhshocraithe.

Linux: coinnigh an dara tollán amach ón bpríomhthábla

Cuireann dhá ásc openvpn --config a rith ar aon mheaisín an dá chliant sa tábla céanna, agus scarann trí rogha iad le leithlisiú méadaitheach. Is é an ceann is éadroma ná stop a chur leis an dara cliant an tábla a chur in eagar ar chor ar bith, le route-nopull agus róid shainráite, nó script route-up nach suiteálann ach an rud a bhfuil sé beartaithe agat. Ansin iompraíonn an dara tollán go díreach na réimírí a ainmníonn tú agus faic eile. Ansin socraíonn tú féin cé na réimírí a théann cá háit in ionad é a fháil amach ina dhiaidh sin.

Is é ródú beartais an rogha láir. Roghnaíonn riail tábla ar leith d'aon seoladh foinse amháin nó do mharc balla dóiteáin, agus iompraíonn an tábla sin róid an dara tollán. Is é scagadh cosáin droim ar ais an gaiste anseo, mar go ndéantar freagra a thagann ar chomhéadan difriúil ón gceann a roghnódh an tábla a scriosadh, mar sin seiceáil an socrú rp_filter sula gcinnteoidh tú go bhfuil an tollán briste.

ip rule add from 10.44.7.0/24 table 100
ip route add default dev tun1 table 100
sysctl net.ipv4.conf.all.rp_filter

Is iad ainmspásanna líonra an rogha is troime agus is glaine. Cuir tús leis an dara cliant laistigh de ip netns, tabhair péire veth dó, agus téigh isteach san ainmspás sin chun é a úsáid. Imíonn an cur isteach mar go bhfuil a tháblaí féin ag gach ainmspás seachas ceann a roinnt, rud is fiú an socrú breise nuair a chaithfidh an dá thollán fanacht suas ar feadh seachtainí.

De réir feidhmchláir, agus slabhraithe mar fhadhb ar leith

Uaireanta níor cheart ach do chlár amháin an dara tollán a úsáid. Ar Linux sroicheann ródú beartais de réir úsáideora, cgroup nó port an toradh sin, agus is féidir ceann scríbe amháin a phionnáil le comhéadan gan an réamhshocrú a bhaint de chor ar bith. Ní chuireann feidhmchlár a phionnálann a shocóid le haon chomhéadan amháin comhairle leis an tábla ródaithe ar chor ar bith, mar sin féadann lainseálaí leas a bhaint as an oiriúnaitheoir fisiceach go dtí go roghnaítear seoladh ina shocruithe féin.

Is oibríocht dhifriúil é slabhraithe ó dhá thollán a rith taobh le taobh. Ciallaíonn A a shlabhrú thar B go gcaithfidh seoladh an fhreastalaí istigh a bheith inrochtana ó thaobh istigh den tollán seachtrach. Níor cheart don chliant seachtrach paicéid chriptithe an chliaint istigh a mheas mar sceitheadh. Is é cliant amháin taobh istigh de mheaisín fíorúil an leagan garbh ach iontaofa; teastaíonn an obair ródaithe thuas móide cosán seachtrach i dtreo an fhreastalaí istigh nach dtéann isteach sa tollán istigh go deo nuair a bhíonn an dá cheann ar aon óstach amháin.

Scríobh síos sealbhóir an réamhshocraithe, an liosta réimírí a iompraíonn gach tollán, agus an cosán DNS. Iompaíonn na trí fhíric sin an chéad eachtra eile ina cuardach seachas ina himscrúdú.