Miért előzi meg a helyi útvonal a VPN alapértelmezett útvonalát

Az asztali nyomtató tovább működik, miután az alagút feláll, miközben a másik iroda kiszolgálója csendesen valami helyire oldódik fel. Mindkét viselkedés ugyanabból a szabályból ered: a legspecifikusabb útvonal győz, és a közvetlenül csatlakoztatott előtag a lehető legspecifikusabb. Általában ez a kívánt kialakítás, és így lop el egy duplikált privát tartomány egy távoli címet. A kernel választásának elsőkénti elolvasása egy rejtélyes hibát előtag-összehasonlítássá alakít.

A csatlakoztatott előtag specifikusabb az alapértelmezett útvonalnál

Az alagút általában alapértelmezett útvonalat vagy előtagkészletet telepít, míg a helyi interfész csatlakoztatott előtagot és a teljes LAN felé vezető útvonalat hordoz. Közöttük a leghosszabb előtag egyezése dönt, így a LAN-előtagon belüli cél soha nem ér el az alagútba. Ezért marad elérhető a nyomtató, az útválasztó felügyeleti oldala és egy helyi NAS, amíg a VPN fut. Ezért kerül egy átfedő tartományon belüli távoli erőforrás a rossz géphez.

A privát címtartomány nem egyedi, és hogy két telephely ugyanazt az előtagot választja, elég gyakori ahhoz, hogy tervezni kelljen rá. Amikor a tartományok átfednek, a helyi válasz gyorsan megérkezik és mérvadónak látszik, ezért a hiba könnyen bejelentkezési problémaként olvasható félre. A cél válaszolt, csak nem az, amelyikre gondolt.

Olvassa el a választást, amelyet a kernel hozna

Kérdezze meg a kernelt, melyik útvonalat használná a pontos célhoz, ahelyett hogy a táblát felülről olvasná. Utána keressen olyan házirend-szabályokat, amelyek másik táblát választhatnak. Két parancs néhány másodperc alatt válaszol mindkét kérdésre.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Az első kimenet megnevezi az interfészt, a következő ugrást és a forrás-címet, amelyet a kernel használna, és ez a lényeges válasz. A dev érték, amely a helyi hídra mutat, azt jelenti, hogy a csomag soha nem kerül be az alagútba, bármit is állít a VPN-kliens állapotpaneele. A szűrt táblalista megmutatja, hogy egy másik tábla tartalmazza-e ugyanazt az előtagot, a szabálylista pedig azt a sorrendet, amelyben ezeket a táblákat megkérdezik. Egy házirend-szabály egy előtagot adott táblán keresztül küldhet akkor is, amikor a fő tábla nem ért egyet, tehát ez a sorrend a válasz része.

A helyi hozzáférés külön engedély

Útvonallal rendelkezni nem ugyanaz, mint engedélyt kapni a használatára. A legtöbb kliens blokkolhatja a helyi hálózati forgalmat, miközben az alagút fel van állítva, és ez a beállítás házirend-döntés, nem útválasztási melléktermék. Amikor egy megbízható közeli szolgáltatás a terv része, kapcsolja be a támogatott helyi hozzáférési lehetőséget, ahelyett hogy útvonalakat találna ki. Ha az eszköz nyilvános Wi-Fi-n van, hagyja kikapcsolva.

A két réteg másképp hibázik. A blokkolt helyi útvonal időtúllépést ad, pedig az útvonal létezik, míg az átfedő útvonal a rossz hoszttól ad választ. Megkülönböztetésük egy lekérdezésbe kerül, és megspórol egy délutányi tűzfal-módosítást, a továbbítási elrendezést pedig a strongSwan továbbítási jegyzetei ismertetik.

Javítsa az átfedést hosztútvonalak halmozása nélkül

Egy címhez tartozó hosztútvonal megoldani látszik az átfedést, és abban a pillanatban meghibásodik, amikor ugyanabban a tartományban egy második címre van szükség. Húsz ilyen után senki nem tudja megmondani, melyik előtag a mérvadó. A tartós megoldások a címzés megváltoztatása, a duplikált tartományt elkerülő dokumentált topológia vagy az egyik végponton végzett fordítás. Mindegyik egyszeri tervezési időbe kerül, nem örökös karbantartásba.

Ha valóban szükség van ideiglenes hosztútvonalra, jegyezze fel mellé az okot, a felelőst és a dátumot, hogy később eltávolítható legyen. Utána tesztelje a pontos címet és szolgáltatást, valamint egy nyilvános célt, mert a helyi hozzáférés olyan változtatása, amely csendesen kizárja a nem kapcsolódó alkalmazásokat az alagútból, rosszabb az eredeti hibánál. Tartsa a helyi előtagot és a távoli előtagot külön leírva; ez a szokás megakadályozza, hogy egy működő helyi ping bizonyítékként vándoroljon arról, hogy a távoli iroda elérhető.