Ինչու տեղական երթուղին հաղթում է VPN-ի լռելյայն երթուղուն

Սեղանի տպիչը շարունակում է աշխատել թունելը բարձրանալուց հետո, մինչ մյուս գրասենյակի սերվերը հանգիստ լուծվում է ինչ-որ տեղականի։ Երկու վարքագիծն էլ գալիս է նույն կանոնից՝ հաղթում է ամենակոնկրետ երթուղին, և անմիջականորեն միացված նախադիրը այնքան կոնկրետ է, որքան հնարավոր է։ Սովորաբար դա հենց այն նախագիծն է, որ ուզում եք, և հենց այդպես է կրկնօրինակ մասնավոր տիրույթը գողանում հեռավոր հասցե։ Միջուկի ընտրությունը նախ կարդալը խորհրդավոր խափանումը վերածում է նախադիրների համեմատության։

Միացված նախադիրն ավելի կոնկրետ է, քան լռելյայն երթուղին

Թունելը սովորաբար տեղադրում է լռելյայն երթուղի կամ նախադիրների հավաքածու, մինչ տեղական ինտերֆեյսը կրում է միացված նախադիր և երթուղի ամբողջ LAN-ի համար։ Նրանց միջև որոշում է ամենաերկար նախադիրի համընկնումը, ուստի LAN-ի նախադիրի ներսում գտնվող նպատակակետը երբեք չի հասնում թունել։ Այդ պատճառով տպիչը, երթուղիչի կառավարման էջը և տեղական NAS-ը մնում են հասանելի, քանի դեռ VPN-ը միացված է։ Այդ պատճառով էլ համընկնող տիրույթի ներսում գտնվող հեռավոր ռեսուրսը գնում է սխալ մեքենա։

Մասնավոր հասցեային տարածությունը եզակի չէ, և երկու վայրերի կողմից նույն նախադիրն ընտրելը բավական տարածված է պլանավորելու համար։ Երբ տիրույթները համընկնում են, տեղական պատասխանը գալիս է արագ և հեղինակավոր թվում, ուստի խափանումը հեշտ է սխալ կարդալ որպես մուտքի խնդիր։ Նպատակակետը պատասխանեց, պարզապես ոչ այն, ինչ նկատի ունեիք։

Կարդացեք այն ընտրությունը, որը կկատարեր միջուկը

Հարցրեք միջուկին, թե որ երթուղին կօգտագործեր ճշգրիտ նպատակակետի համար, փոխանակ աղյուսակը վերևից կարդալու։ Ապա փնտրեք քաղաքականության կանոններ, որոնք կարող են ընտրել այլ աղյուսակ։ Երկու հրաման պատասխանում են երկու հարցերին մի քանի վայրկյանում։

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Առաջին ելքը նշում է ինտերֆեյսը, հաջորդ ցատկը և աղբյուրի հասցեն, որ կօգտագործեր միջուկը, և դա այն պատասխանն է, որ կարևոր է։ dev արժեքը, որը ցույց է տալիս տեղական կամրջին, նշանակում է, որ փաթեթը երբեք չի մտնում թունել, ինչ էլ պնդի VPN-ի հաճախորդի կարգավիճակի վահանակը։ Զտված աղյուսակների ցանկը ցույց է տալիս՝ արդյոք այլ աղյուսակ պահում է նույն նախադիրը, իսկ կանոնների ցանկը ցույց է տալիս այն հերթականությունը, որով խորհրդակցվում են այդ աղյուսակների հետ։ Քաղաքականության կանոնը կարող է նախադիրն ուղարկել կոնկրետ աղյուսակով նույնիսկ երբ հիմնական աղյուսակը համաձայն չէ, ուստի այդ հերթականությունը պատասխանի մասն է։

Տեղական հասանելիությունը առանձին թույլտվություն է

Երթուղի ունենալը նույնը չէ, ինչ այն օգտագործելու թույլտվություն ունենալը։ Հաճախորդների մեծ մասը կարող է արգելափակել տեղական ցանցային հաղորդակցությունը, քանի դեռ թունելը բարձրացված է, և այդ կարգավորումը քաղաքականության որոշում է, ոչ թե երթուղավորման արդյունք։ Երբ վստահելի մոտակա ծառայությունը նախագծի մաս է, միացրեք աջակցվող տեղական հասանելիության տարբերակը՝ երթուղիներ հորինելու փոխարեն։ Երբ սարքը հանրային Wi-Fi-ում է, թողեք այն անջատված։

Երկու շերտերը տարբեր կերպ են ձախողվում։ Արգելափակված տեղական ուղին տալիս է ժամանակի սպառում, թեև երթուղին գոյություն ունի, մինչ համընկնող երթուղին պատասխան է տալիս սխալ հոսթից։ Դրանք տարբերելը մեկ հարցում արժե և խնայում է կես օր firewall-ի փոփոխություններ, իսկ փոխանցման դասավորությունը նկարագրված է strongSwan-ի փոխանցման նշումները-ում։

Շտկեք համընկնումը՝ առանց հոսթային երթուղիների կուտակման

Մեկ հասցեի համար հոսթային երթուղին կարծես շտկում է համընկնումը և ձախողվում է այն պահին, երբ նույն տիրույթում երկրորդ հասցե է պետք։ Քսան այդպիսինից հետո ոչ ոք չի կարող ասել, թե որ նախադիրն է հեղինակավոր։ Կայուն լուծումներն են հասցեավորման փոփոխությունը, կրկնօրինակ տիրույթից խուսափող փաստաթղթավորված տոպոլոգիան կամ մի ծայրում թարգմանությունը։ Յուրաքանչյուրը մեկ անգամ պլանավորման ժամանակ է արժենում, ոչ թե հավերժ սպասարկում։

Եթե ժամանակավոր հոսթային երթուղի իսկապես պետք է, կողքին գրեք պատճառը, սեփականատիրոջը և ամսաթիվը, որպեսզի այն հետո հնարավոր լինի հեռացնել։ Ապա ստուգեք ճշգրիտ հասցեն և ծառայությունը՝ գումարած հանրային նպատակակետ, որովհետև տեղական հասանելիության այն փոփոխությունը, որը լուռ թունելից դուրս է թողնում անկապ հավելվածները, ավելի վատ է, քան սկզբնական խափանումը։ Տեղական նախադիրը և հեռավոր նախադիրը առանձին գրի պահեք՝ այդ սովորույթը թույլ չի տալիս աշխատող տեղական ping-ը շրջանառվել որպես ապացույց, որ հեռավոր գրասենյակը հասանելի է։