Zašto lokalna ruta pobjeđuje zadanu VPN rutu

Pisač na stolu nastavlja raditi nakon što se tunel podigne, dok se poslužitelj u drugom uredu tiho razrješava na nešto lokalno. Oba ponašanja dolaze iz istog pravila: najspecifičnija ruta pobjeđuje, a izravno priključeni prefiks najspecifičniji je mogući. To je obično dizajn koji želite, a upravo tako duplikat privatnog raspona ukrade udaljenu adresu. Čitanje izbora kernela najprije pretvara tajanstveni kvar u usporedbu prefiksa.

Povezani prefiks specifičniji je od zadane rute

Tunel obično instalira zadanu rutu ili skup prefiksa, dok lokalno sučelje nosi povezani prefiks plus rutu do cijele LAN mreže. Među njima odlučuje podudaranje najduljeg prefiksa, pa odredište unutar LAN prefiksa nikada ne stigne do tunela. Zato pisač, administratorska stranica usmjerivača i lokalni NAS ostaju dostupni dok je VPN aktivan. Zato i udaljeni resurs unutar raspona koji se preklapa odlazi na pogrešno računalo.

Privatni adresni prostor nije jedinstven, a dva lokaliteta koja biraju isti prefiks dovoljno su česta pojava da se planiraju. Kada se rasponi preklope, lokalni odgovor stiže brzo i izgleda mjerodavno, pa se kvar lako pogrešno pročita kao problem s prijavom. Odredište je odgovorilo, samo ne ono koje ste mislili.

Pročitajte izbor koji bi kernel napravio

Pitajte kernel koju bi rutu upotrijebio za točno odredište umjesto da čitate tablicu odozgo. Zatim potražite pravila politike koja bi mogla odabrati drugu tablicu. Dvije naredbe odgovaraju na oba pitanja u nekoliko sekundi.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Prvi izlaz navodi sučelje, sljedeći skok i izvornu adresu koju bi kernel upotrijebio, i to je odgovor koji je važan. Vrijednost dev koja pokazuje na lokalni most znači da paket nikada ne ulazi u tunel, što god tvrdi statusna ploča VPN klijenta. Filtrirani popis tablica pokazuje drži li druga tablica isti prefiks, a popis pravila pokazuje redoslijed kojim se te tablice savjetuju. Pravilo politike može poslati prefiks kroz određenu tablicu čak i kada se glavna tablica ne slaže, pa je taj redoslijed dio odgovora.

Lokalni pristup zasebna je dozvola

Imati rutu nije isto što i imati dopuštenje da je koristite. Većina klijenata može blokirati lokalnu mrežnu komunikaciju dok je tunel aktivan, a ta je postavka odluka politike, a ne artefakt usmjeravanja. Kada pouzdana obližnja usluga pripada dizajnu, uključite podržanu opciju lokalnog pristupa umjesto da izmišljate rute. Kada je uređaj na javnom Wi-Fi-ju, ostavite je isključenu.

Dva sloja otkazuju različito. Blokiran lokalni put daje istek vremena iako ruta postoji, dok ruta koja se preklapa daje odgovor s pogrešnog hosta. Razlikovanje zahtijeva jedan upit i štedi poslijepodne izmjena vatrozida, a raspored prosljeđivanja opisan je u strongSwanove bilješke o prosljeđivanju.

Popravite preklapanje bez gomilanja host ruta

Host ruta za jednu adresu izgleda kao da popravlja preklapanje i pada u trenutku kada zatreba druga adresa iz istog raspona. Dvadeset takvih kasnije, nitko ne može reći koji je prefiks mjerodavan. Trajna rješenja su promjena adresiranja, dokumentirana topologija koja izbjegava duplikat raspona ili prevođenje na jednom kraju. Svako košta vrijeme planiranja jednom, umjesto održavanja zauvijek.

Ako je privremena host ruta doista potrebna, zapišite razlog, vlasnika i datum uz nju da bi se kasnije mogla ukloniti. Zatim testirajte točnu adresu i uslugu plus javno odredište, jer promjena lokalnog pristupa koja tiho isključuje nepovezane aplikacije iz tunela gora je od izvornog kvara. Držite lokalni prefiks i udaljeni prefiks odvojeno zapisane; ta navika sprječava da se radni lokalni ping prenosi kao dokaz da je udaljeni ured dostupan.