Vendég VPN és gazda VPN: melyik útvonal nyer valójában

Két kliens fut egyszerre, mindkettő meg van győződve arról, hogy az övé az alapértelmezett útvonal, és a tünet valami furcsa formában jelentkezik: a vendég egyik alkalmazása működik, egy másik rossz helyre oldódik fel. A vendégen belüli VPN és a gazdán futó VPN képes együtt létezni, de csak akkor, ha a külső útvonal és a belső szabályzat egyetért abban, ki mit visz. Mindkettő elindítása önmagában nem hoz létre láncot. Először jegyezd fel a csatlakozást, aztán egyszerre csak egy dolgot változtass.

Először jegyezd fel a vendég csatlakozását

A vendég azon az útvonalon éri el a VPN-kiszolgálóját, amelyet a hipervizor adott neki: NAT a gazda mögött, híd a fizikai szegmensre, vagy csak gazda számára elérhető hálózat, amelyre útválasztás van ráépítve. Minden csatlakozás megváltoztatja, hogy a vendég mit láthat, és hogy a gazda mit tehet a forgalmával. NAT alatt a vendég csomagjai úgy tűnnek, mintha a gazdától jönnének, így a gazda saját alagútja továbbíthatja őket anélkül, hogy a vendég bármit is tudna erről. Híd alatt a vendégnek saját jelenléte van a szegmensen és saját alapértelmezett átjárója.

Jegyezd fel a csatlakozást, mielőtt bármilyen konfigurációhoz nyúlsz, együtt azzal, melyik kliensnek melyik alkalmazást kell vinnie. Ez a mondat a legtöbb ilyen esetet megoldja, mert a két kliens rendszerint eltérő feltevésekre épül. Az a vendég, amelytől a gazda alagútjának használatát várják, ne rendelkezzen saját versengő alapértelmezett útvonallal is.

Kövesd a vendég végpontját kifelé

A vendég VPN-nek használható útra van szüksége a saját kiszolgálójáig, mielőtt bármi más működhetne. Amikor a gazda alagútja fent van és a vendég NAT mögött ül, a vendég kézfogása a gazda alagútján keresztül megy ki, ami vagy a tervezés, vagy olyan baleset, amelyet senki nem dokumentált. Amikor a gazda alagútja leesik és a vendég függött tőle, a vendég a saját oldalán egyetlen változtatás nélkül elveszíti a kapcsolatot. A végpont kifelé követése megmondja, melyik a két eset közül valójában a tiéd.

A széles útvonal bármelyik környezetben elfogja a forgalmat, amelyet a másik kliens várt. A vendégen belüli 0.0.0.0/0 útvonal és a teljes alagutú gazdakliens is mindenre igényt tart, és az nyer, amelyik utoljára érvényes. A vendég virtuális hálózatai, a helyi LAN és a távoli hálózatok közötti átfedések ugyanezt a hatást keltik a privát előtagoknál, olyan hibákkal, amelyek hitelesítési problémáknak tűnnek; a címfordítás viselkedése ugyanaz, mint amelyet a konténeres hálózatkezelés kapcsán leírtak.

Hasonlítsd össze a változás előtti és utáni feljegyzést

Vegyél fel egy alapvonalat kikapcsolt gazda-alagúttal, vagy abban a szabályozott állapotban, amelyet a szabályzatod megenged, és jegyezd fel a vendég útvonalát és feloldóját. Utána alkalmazd a kombinált konfigurációt, és hasonlítsd össze a két feljegyzést, az adatvédelmi követelményeket érintetlenül hagyva. Ha a közvetlen alapvonal nem megfelelő, írd be ezt a korlátot a feljegyzésbe ahelyett, hogy kihagynád az összehasonlítást.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Az útvonal-lekérdezés megnevezi azt az interfészt és forrás-címet, amely egy adott célt szállítana, és ez a leginkább hasznos sor ebben a vizsgálatban. A szabálylista megmutatja, hogy a házirend-alapú útválasztás második táblán keresztül küld-e bizonyos célokat. A feloldó kimenete megmutatja, hogy a DNS követte-e a vendég alagútját, vagy a gazda útvonalán maradt. Futtasd ugyanazt a három parancsot a változás előtt és után, és a különbség megnevezi a bűnöst.

Tartsd tisztán a tulajdonviszonyt az újraindításokon át

A gazdakliens helyi hozzáférési korlátozása blokkolhatja a forgalmat egy virtuális NAT vagy híd felé, és ezt a korlátozást rendszeresen összetévesztik a vendég hitelesítő adatainak problémájával. Olvasd el a kliens dokumentált viselkedését ahelyett, hogy kikapcsolnád a korlátozást, hogy egy teszt átmenjen. Egy támogatott javítás után teszteld újra a vendég alkalmazását és az általad megkövetelt hibaeset-szabályzatot. Az a gazda, amely sikeresen újracsatlakozik, semmit nem bizonyít a vendég útvonaláról vagy feloldójáról.

Döntsd el, melyik fél birtokolja az alapértelmezett útvonalat, és írd ezt be az üzemeltetési kézikönyvbe. A vendég újraindítása vagy a gazda hálózatváltása, amely csendben megfordítja a tulajdonviszonyt, hibajelentést eredményez egy olyan VPN-ről, amely soha nem volt hibás. Az elrendezésnek túl kell élnie egy újraindítást anélkül, hogy bárki emlékezne, miért működött.