એકસાથે બે VPN ક્લાયન્ટ: ડિફોલ્ટ રૂટ કોણ જીતે?

એકસાથે બે VPN ક્લાયન્ટ ચલાવવું એ રાઉટિંગની ચર્ચા છે, ગોપનીયતાનું સેટિંગ નહીં. જે ટનલ પાસે વધુ ચોક્કસ રૂટ હોય તેને ટ્રાફિક મળે છે, અને બીજું કનેક્ટેડ રહીને પણ નિષ્ક્રિય રહે છે. કોર્પોરેટ ગેટવે પછી વ્યક્તિગત એક્ઝિટથી આવતું કનેક્શન જુએ છે, જ્યારે તમારા મશીન પરનો કોર્પોરેટ ક્લાયન્ટ હજી પણ દરેક એડેપ્ટર જુએ છે. આ બે હકીકતોમાંથી કઈ મહત્વની છે તે નક્કી કરવું એ જ આખી કસરત છે.

રૂટ ટેબલ એક વિજેતા પસંદ કરે છે

કોર્પોરેટ ક્લાયન્ટ શરૂ થાય તે પહેલા અને પછી ટેબલ કેપ્ચર કરો, અને ફક્ત ગંતવ્યને બદલે ઇન્ટરફેસ કૉલમ વાંચો. બાહ્ય ટનલમાંથી આવતો સાદો ડિફોલ્ટ રૂટ વિસ્થાપિત કરવો સરળ છે, કારણ કે /1 જોડી /0 કરતાં વધુ ચોક્કસ છે. શાબ્દિક જોડી 0.0.0.0/1 અને 128.0.0.0/1 આખી IPv4 જગ્યાને બે ભાગમાં આવરી લે છે અને કોઈપણ એકલા ડિફોલ્ટને હરાવે છે. તે સ્થાપિત થયા પછી, બાહ્ય ટનલ હજી પણ કનેક્ટેડ દેખાય છે અને કંઈપણ વહન કરતી નથી.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

પોલિસી રાઉટિંગ મુખ્ય ટેબલને સંપૂર્ણપણે ઓવરરાઇડ કરી શકે છે, તેથી રૂટની સાથે નિયમો પણ વાંચો. જે નિયમ ચિહ્નિત ટ્રાફિકને બીજા ટેબલમાં મોકલે છે તે મુખ્ય ટેબલની સલાહ લેવાય તે પહેલા જીતે છે. આ રીતે એક એપ્લિકેશન ભૌતિક લિંક પર રહી શકે છે જ્યારે બાકીનું બધું ટનલનો ઉપયોગ કરે છે.

ip rule show

Windows તેને મેટ્રિકથી નક્કી કરે છે

Windows માં વિજેતા એ ગંતવ્ય માટે સૌથી નીચી મેટ્રિક ધરાવતો રૂટ છે, અને બે ક્લાયન્ટ અલગ અલગ મેટ્રિક સાથે ડિફોલ્ટ રૂટ સ્થાપિત કરી શકે છે. ટેબલ અને ઇન્ટરફેસ રૂપરેખાંકન સાથે વાંચો, કારણ કે નીચી મેટ્રિકવાળું એડેપ્ટર હંમેશા તમે ધારો છો તે નથી. જે ક્લાયન્ટ ઇન્ટરફેસ મેટ્રિક પણ સેટ કરે છે તે એક પણ રૂટ ઉમેર્યા વિના ડિફોલ્ટને ખસેડી શકે છે. હારેલું એડેપ્ટર ચાલુ રહે છે અને ફક્ત કંઈપણ મેળવતું નથી.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

બે આઉટપુટની સરખામણી કરો અને 0.0.0.0/0 ધરાવતું ઇન્ટરફેસ નામ આપો. જો બંને ક્લાયન્ટ તેનો દાવો કરે, તો મેટ્રિક નક્કી કરે છે, તેથી જ કનેક્શન ક્રમની કસોટી વિવિધ મશીનો પર અસંગત લાગી શકે છે. જો કોઈ પણ આઉટપુટ ડિફોલ્ટ ગેટવે ન બતાવે, તો ક્લાયન્ટ સંપૂર્ણ ટનલમાં ચાલતો નથી અને સાંકળની દલીલ અર્થહીન છે.

બે નિરીક્ષક, બે અલગ દૃષ્ટિકોણ

દૂરસ્થ ગેટવે બાહ્ય એક્ઝિટથી આવતું એક કનેક્શન જુએ છે, ઉપરાંત ક્લાયન્ટ તેની ટનલમાં જે મોકલે છે તે પણ. સ્થાનિક ક્લાયન્ટ એડેપ્ટર, રૂટ અને બીજી ટનલના અસ્તિત્વને જુએ છે, કારણ કે તે તેને બનાવવાના અધિકાર સાથે ચાલે છે. આ દૃષ્ટિકોણોને અલગ કરવા એ જ મુદ્દો છે; ક્લાયન્ટ જોઈ શકતો નથી એવું કહેવું નહીં.

ધારો કે ક્લાયન્ટ ગમે તેની ગણતરી કરી શકે છે, અને તેના બદલે ગેટવેના દૃષ્ટિકોણ માટે યોજના બનાવો. જે ડિઝાઇન ક્લાયન્ટ અંધ રહેવા પર આધાર રાખે છે તે તૂટવાથી એક અપડેટ દૂર છે.

DNS અને IPv6 એ છે જ્યાં સાંકળ લીક થાય છે

DNS જે રિઝોલ્વર સેટિંગ જીતે તેને અનુસરે છે, અને તે પેકેટ જે માર્ગ લે છે તે જ હોવું જરૂરી નથી. કોર્પોરેટ ટનલ દ્વારા પહોંચાતું કોર્પોરેટ રિઝોલ્વર ડિઝાઇન સાથે સુસંગત છે; તેની બહાર પહોંચાતું સ્થાનિક રિઝોલ્વર નથી, અને તે એવા નામો ખુલ્લા પાડે છે જે ટનલને છુપાવવાના હતા. IPv6 બીજું લીક છે: ડ્યુઅલ-સ્ટેક હોસ્ટ એવા ગંતવ્યો તરફ IPv6 વાપરવાનું ચાલુ રાખે છે જે ટનલ ફક્ત IPv4 પર વહન કરે છે. કુટુંબોને અલગથી તપાસો, કારણ કે ફક્ત-IPv4 ટનલ IPv6 રૂટ અથવા રિઝોલ્વર વિશે કંઈ કહેતી નથી.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

રિઝોલ્વર અને IPv6 રૂટને ઇરાદાપૂર્વક સુધારો, ઉપર બીજી ટનલ થપ્પી કરવાને બદલે. બમણું એન્કેપ્સ્યુલેશન MTU પણ ખર્ચે છે, તેથી સાંકળ ઉપર આવ્યા પછી પૃષ્ઠો અટકે ત્યારે નાનું આંતરિક MTU પ્રથમ પ્રયત્ન કરવા જેવું છે. ઝડપથી જવાબ આપતું રિઝોલ્વર તે સાચું છે તેનો પુરાવો નથી.