Dva VPN klijenta istovremeno: ko pobjeđuje na zadanoj ruti?

Pokretanje dva VPN klijenta istovremeno rasprava je o usmjeravanju, a ne postavka privatnosti. Koji god tunel posjeduje specifičniju rutu, prima promet, a drugi ostaje povezan, ali besposlen. Korporativni gateway tada vidi vezu koja dolazi s osobnog izlaza, dok korporativni klijent na vašem računalu još uvijek vidi svaki adapter. Odlučiti koja je od te dvije činjenice važna jest cijela vježba.

Tablica ruta bira jednog pobjednika

Snimite tablicu prije i poslije pokretanja korporativnog klijenta i čitajte stupac sučelja, a ne samo odredište. Obična zadana ruta iz vanjskog tunela lako se potiskuje, jer je par /1 specifičniji od /0. Doslovni par 0.0.0.0/1 i 128.0.0.0/1 pokriva cijeli IPv4 prostor u dvije polovice i pobjeđuje svaku pojedinačnu zadanu rutu. Nakon što se instalira, vanjski tunel i dalje izgleda povezan i ne nosi ništa.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Usmjeravanje po pravilima može potpuno nadjačati glavnu tablicu, pa čitajte i pravila i rute. Pravilo koje označeni promet šalje u drugu tablicu pobjeđuje prije nego što se glavna tablica uopće pogleda. Tako jedna aplikacija može ostati na fizičkoj vezi dok sve ostalo koristi tunel.

ip rule show

Windows to rješava metrikama

Na Windowsu pobjednik je ruta s najnižom metrikom za odredište, a dva klijenta mogu oba instalirati zadanu rutu s različitim metrikama. Čitajte tablicu i konfiguraciju sučelja zajedno, jer adapter s nižom metrikom nije uvijek onaj koji očekujete. Klijent koji postavlja i metriku sučelja može pomaknuti zadanu rutu bez dodavanja ijedne rute. Adapter koji izgubi ostaje uključen i jednostavno ne prima ništa.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Usporedite dva izlaza i imenujte sučelje koje posjeduje 0.0.0.0/0. Ako ga oba klijenta polažu, metrika odlučuje, zbog čega test redoslijeda povezivanja može izgledati nedosljedno na različitim strojevima. Ako nijedan izlaz ne pokazuje zadani gateway, klijent ne radi u punom tunelu i argument lanca je bespredmetan.

Dva promatrača, dva različita pogleda

Udaljeni gateway vidi jednu vezu koja dolazi s vanjskog izlaza plus sve što klijent prosljeđuje u svoj tunel. Lokalni klijent vidi adaptere, rute i postojanje drugog tunela, jer radi s ovlastima da ih stvori. Razdvajanje tih pogleda je poanta; tvrdnja da klijent ne može primijetiti nije.

Pretpostavite da klijent može nabrojati što god želi i planirajte za pogled gatewaya umjesto toga. Dizajn koji ovisi o tome da klijent ostane slijep jednu je nadogradnju daleko od kvara.

DNS i IPv6 mjesta su gdje lanac curi

DNS slijedi onu postavku resolvera koja pobijedi, a to nije nužno putanja kojom paketi idu. Korporativni resolver dosegnut kroz korporativni tunel dosljedan je s dizajnom; lokalni resolver dosegnut izvan njega nije, i otkriva imena koja je tunel trebao sakriti. IPv6 je drugo curenje: dual-stack host nastavlja koristiti IPv6 prema odredištima koja tunel nosi samo preko IPv4. Provjeravajte obitelji odvojeno, jer tunel samo za IPv4 ne govori ništa o IPv6 rutama ili resolverima.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Popravite resolver i IPv6 rutu namjerno, umjesto da naslažete drugi tunel odozgo. Dvostruka enkapsulacija također košta MTU, pa je manji unutarnji MTU prvo što treba isprobati kada se stranice zakoče nakon uspostavljanja lanca. Resolver koji brzo odgovara nije dokaz da je pravi resolver.