Por que unha ruta local gaña á ruta predeterminada da VPN

A impresora do escritorio segue funcionando cando o túnel sobe, mentres que un servidor da outra oficina se resolve en silencio cara a algo local. Os dous comportamentos veñen da mesma regra: gaña a ruta máis específica, e un prefixo conectado directamente é tan específico como pode ser. Normalmente ese é o deseño que queres, e tamén é así como un rango privado duplicado rouba un enderezo remoto. Ler primeiro a elección do núcleo converte un fallo misterioso nunha comparación de prefixos.

Un prefixo conectado é máis específico ca unha ruta predeterminada

Un túnel adoita instalar unha ruta predeterminada ou un conxunto de prefixos, mentres que unha interface local leva un prefixo conectado máis unha ruta a toda a LAN. Entre elas decide a coincidencia do prefixo máis longo, así que un destino dentro do prefixo da LAN nunca chega ao túnel. Por iso unha impresora, a páxina de administración dun router e un NAS local seguen sendo accesibles mentres a VPN está activa. Por iso tamén un recurso remoto dentro dun rango solapado vai á máquina equivocada.

O espazo de enderezos privados non é único, e que dous sitios elixan o mesmo prefixo é bastante habitual como para planificalo. Cando os rangos se solapan, a resposta local chega rápido e parece autoritativa, así que o fallo se le facilmente como un problema de inicio de sesión. O destino si respondeu, só que non o que querías.

Le a elección que faría o núcleo

Pregunta ao núcleo que ruta usaría para o destino exacto en lugar de ler a táboa desde arriba. Despois busca regras de política que poidan elixir outra táboa. Dous comandos responden ás dúas preguntas nuns segundos.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

A primeira saída nomea a interface, o seguinte salto e o enderezo de orixe que usaría o núcleo, e esa é a resposta que importa. Un valor dev que apunta á ponte local significa que o paquete nunca entra no túnel, diga o que diga o panel de estado do cliente VPN. A listaxe filtrada de táboas mostra se outra táboa contén o mesmo prefixo, e a lista de regras mostra a orde en que se consultan esas táboas. Unha regra de política pode enviar un prefixo por unha táboa concreta mesmo cando a táboa principal non está de acordo, así que esa orde forma parte da resposta.

O acceso local é un permiso á parte

Ter unha ruta non é o mesmo que ter permiso para usala. A maioría dos clientes poden bloquear a comunicación de rede local mentres o túnel está activo, e ese axuste é unha decisión de política, non un artefacto de encamiñamento. Cando un servizo próximo de confianza forma parte do deseño, activa a opción de acceso local admitida en lugar de inventar rutas. Cando o dispositivo está nun Wi-Fi público, déixaa desactivada.

As dúas capas fallan de xeito distinto. Un camiño local bloqueado produce un tempo de espera aínda que a ruta exista, mentres que unha ruta solapada produce unha resposta do host equivocado. Distinguilas custa unha consulta e aforra unha tarde de cambios de cortafogos, e a disposición do reenvío descríbese en as notas de reenvío de strongSwan.

Corrixe un solapamento sen acumular rutas de host

Unha ruta de host para un enderezo parece corrixir un solapamento e falla no momento en que se precisa un segundo enderezo do mesmo rango. Vinte delas despois, ninguén pode dicir que prefixo é autoritativo. As solucións duradeiras son un cambio de enderezamento, unha topoloxía documentada que evite o rango duplicado ou unha tradución nun extremo. Cada unha custa tempo de planificación unha vez en lugar de mantemento para sempre.

Se de verdade fai falta unha ruta de host temporal, anota ao lado o motivo, o propietario e a data para que se poida retirar máis adiante. Despois proba o enderezo e o servizo exactos máis un destino público, porque un cambio de acceso local que exclúa en silencio aplicacións non relacionadas do túnel é peor que o fallo orixinal. Mantén o prefixo local e o prefixo remoto escritos por separado; ese hábito evita que un ping local que funciona se pase como proba de que a oficina remota é accesible.