Mengapa rute lokal mengalahkan rute default VPN

Printer di meja terus bekerja setelah terowongan naik, sementara server di kantor lain diam-diam terurai ke sesuatu yang lokal. Kedua perilaku berasal dari aturan yang sama: rute paling spesifik menang, dan prefiks yang terhubung langsung adalah yang paling spesifik. Biasanya itu desain yang Anda inginkan, dan begitulah rentang privat duplikat mencuri alamat jarak jauh. Membaca pilihan kernel lebih dulu mengubah kegagalan misterius menjadi perbandingan prefiks.

Prefiks terhubung lebih spesifik daripada rute default

Terowongan biasanya memasang rute default atau sekumpulan prefiks, sementara antarmuka lokal membawa prefiks terhubung plus rute ke seluruh LAN. Di antara keduanya, pencocokan prefiks terpanjang yang memutuskan, sehingga tujuan di dalam prefiks LAN tidak pernah mencapai terowongan. Karena itulah printer, halaman administrasi router, dan NAS lokal tetap terjangkau selama VPN aktif. Karena itulah juga sumber daya jarak jauh di dalam rentang yang tumpang tindih menuju mesin yang salah.

Ruang alamat privat tidak unik, dan dua situs memilih prefiks yang sama cukup umum untuk direncanakan. Saat rentang bertumpang tindih, jawaban lokal datang cepat dan tampak berwibawa, sehingga kegagalan mudah salah dibaca sebagai masalah masuk. Tujuan itu memang menjawab, hanya bukan yang Anda maksud.

Baca pilihan yang akan diambil kernel

Tanyakan kepada kernel rute mana yang akan dipakainya untuk tujuan yang tepat alih-alih membaca tabel dari atas. Lalu cari aturan kebijakan yang bisa memilih tabel lain. Dua perintah menjawab kedua pertanyaan dalam beberapa detik.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Keluaran pertama menyebut antarmuka, hop berikutnya, dan alamat sumber yang akan dipakai kernel, dan itulah jawaban yang penting. Nilai dev yang menunjuk ke jembatan lokal berarti paket tidak pernah masuk ke terowongan, apa pun yang diklaim panel status klien VPN. Daftar tabel yang disaring menunjukkan apakah tabel lain memegang prefiks yang sama, dan daftar aturan menunjukkan urutan tabel-tabel itu dikonsultasikan. Aturan kebijakan dapat mengirim prefiks lewat tabel tertentu bahkan ketika tabel utama tidak setuju, jadi urutan itu bagian dari jawabannya.

Akses lokal adalah izin tersendiri

Punya rute tidak sama dengan diizinkan memakainya. Sebagian besar klien dapat memblokir komunikasi jaringan lokal saat terowongan naik, dan pengaturan itu adalah keputusan kebijakan, bukan artefak perutean. Saat layanan terdekat yang tepercaya termasuk dalam desain, aktifkan opsi akses lokal yang didukung alih-alih mengarang rute. Saat perangkat berada di Wi-Fi publik, biarkan mati.

Kedua lapisan gagal dengan cara berbeda. Jalur lokal yang diblokir menghasilkan waktu habis padahal rutenya ada, sedangkan rute yang tumpang tindih menghasilkan jawaban dari host yang salah. Membedakannya hanya perlu satu kueri dan menghemat satu sore perubahan firewall, dan tata cara penerusan dijelaskan di catatan penerusan strongSwan.

Perbaiki tumpang tindih tanpa menumpuk rute host

Rute host untuk satu alamat tampak memperbaiki tumpang tindih dan gagal begitu alamat kedua dalam rentang yang sama dibutuhkan. Dua puluh di antaranya kemudian, tidak ada yang bisa mengatakan prefiks mana yang berwibawa. Perbaikan yang tahan lama adalah perubahan pengalamatan, topologi terdokumentasi yang menghindari rentang duplikat, atau penerjemahan di salah satu ujung. Masing-masing memakan waktu perencanaan sekali alih-alih pemeliharaan selamanya.

Jika rute host sementara benar-benar diperlukan, catat alasan, pemilik, dan tanggal di sampingnya agar bisa dihapus nanti. Lalu uji alamat dan layanan yang tepat plus tujuan publik, karena perubahan akses lokal yang diam-diam mengecualikan aplikasi tak terkait dari terowongan lebih buruk daripada gangguan awal. Simpan prefiks lokal dan prefiks jarak jauh tertulis terpisah; kebiasaan itu mencegah ping lokal yang berfungsi dijadikan bukti bahwa kantor jauh dapat dijangkau.