Két VPN-kliens egyszerre: melyik nyeri az alapértelmezett útvonalat?

Két VPN-kliens egyszerre való futtatása útválasztási vita, nem adatvédelmi beállítás. Amelyik alagút a pontosabb útvonalat birtokolja, az kapja a forgalmat, a másik pedig csatlakoztatva marad, de tétlen. A vállalati átjáró ekkor egy kapcsolatot lát, amely a személyes kimenetről érkezik, miközben a gépén futó vállalati kliens továbbra is minden adaptert lát. Eldönteni, hogy a két tény közül melyik számít, maga az egész gyakorlat.

Az útvonaltábla egyetlen győztest választ

Rögzítse a táblát a vállalati kliens indulása előtt és után, és az interfész oszlopát olvassa, ne csak a célt. A külső alagút egyszerű alapértelmezett útvonala könnyen kiszorítható, mert az /1 pár konkrétabb, mint a /0. A szó szerinti 0.0.0.0/1 és 128.0.0.0/1 pár két félben lefedi a teljes IPv4 teret, és legyőz minden egyedi alapértelmezést. Telepítése után a külső alagút továbbra is csatlakozottnak látszik, és semmit nem szállít.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

A házirend-alapú útválasztás teljesen felülírhatja a fő táblát, ezért olvassa a szabályokat és az útvonalakat is. Az a szabály, amely megjelölt forgalmat másik táblába küld, a fő tábla megkérdezése előtt nyer. Így egy alkalmazás a fizikai kapcsolaton maradhat, míg minden más az alagutat használja.

ip rule show

A Windows metrikákkal dönti el

Windows alatt a győztes a célhoz tartozó legalacsonyabb metrikájú útvonal, és két kliens is telepíthet alapértelmezett útvonalat különböző metrikákkal. A táblát és az interfész konfigurációját együtt olvassa, mert az alacsonyabb metrikájú adapter nem mindig az, amire számít. Az a kliens, amely interfész-metrikát is beállít, egyetlen útvonal hozzáadása nélkül is elmozdíthatja az alapértelmezést. A vesztes adapter bekapcsolva marad, és egyszerűen semmit nem kap.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Hasonlítsa össze a két kimenetet, és nevezze meg az interfészt, amely a 0.0.0.0/0 címet birtokolja. Ha mindkét kliens igényli, a metrika dönt, ezért tűnhet a kapcsolódási sorrend tesztje gépenként következetlennek. Ha egyik kimenet sem mutat alapértelmezett átjárót, a kliens nem teljes alagútban fut, és a láncérv lényegtelen.

Két megfigyelő, két különböző nézet

A távoli átjáró egy kapcsolatot lát, amely a külső kimenetről érkezik, plusz mindent, amit a kliens az alagútjába továbbít. A helyi kliens adaptereket, útvonalakat és egy másik alagút létezését látja, mert létrehozásukhoz szükséges jogosultságokkal fut. E nézetek szétválasztása a lényeg; annak állítása, hogy a kliens nem veheti észre, nem az.

Tételezze fel, hogy a kliens bármit felsorolhat, és tervezzen inkább az átjáró nézetére. Az a tervezés, amely a kliens vakságától függ, egy frissítésre van a töréstől.

A DNS és az IPv6 az, ahol a lánc szivárog

A DNS azt a feloldó-beállítást követi, amelyik nyer, és ez nem feltétlenül az az útvonal, amelyen a csomagok haladnak. A vállalati alagúton elért vállalati feloldó összhangban van a tervezéssel; az azon kívül elért helyi feloldó nem, és olyan neveket tár fel, amelyeket az alagútnak el kellett volna rejtenie. Az IPv6 a második szivárgás: a kettős vermű gazdagép továbbra is IPv6-ot használ azok felé a célok felé, amelyeket az alagút csak IPv4-en szállít. A családokat külön ellenőrizze, mert a csak IPv4-es alagút semmit nem mond az IPv6 útvonalakról vagy feloldókról.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Javítsa meg a feloldót és az IPv6 útvonalat szándékosan, ahelyett hogy egy második alagutat telepítene fölé. A kettős beágyazás MTU-t is költsémez, ezért kisebb belső MTU az első, amit ki kell próbálni, ha az oldalak megakadnak a lánc felállítása után. Az a feloldó, amely gyorsan válaszol, nem bizonyíték arra, hogy a megfelelő feloldó.