Tveir VPN-viðskiptavinir í einu: hver vinnur sjálfgefnu leiðina?

Að keyra tvo VPN-viðskiptavini í einu er rökfræðideila um leiðsögn, ekki stilling um persónuvernd. Hvort göngin sem eiga nákvæmari leiðina fá umferðina, og hin eru áfram tengd en aðgerðalaus. Fyrirtækjahliðið sér þá tengingu sem kemur frá persónulega útgöngunni, á meðan fyrirtækjaviðskiptavinurinn á vélinni þinni sér enn hvern millistykki. Að ákveða hvor þessara tveggja staðreynda skiptir máli er öll æfingin.

Leiðatöflurnar velja einn sigurvegara

Taktu töfluna fyrir og eftir að fyrirtækjaviðskiptavinurinn byrjar, og lestu tengi-dálkinn frekar en bara áfangastaðinn. Venjuleg sjálfgefin leið frá ytri göngunum er auðvelt að ýta út, því /1 par er nákvæmara en /0. Bókstaflega parið 0.0.0.0/1 og 128.0.0.0/1 nær yfir allt IPv4 rýmið í tveimur hlutum og vinnur hverja einustu sjálfgefna leið. Eftir uppsetningu sýnast ytri göngin enn tengd og flytja ekkert.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Stefnuleiðsögn getur algjörlega hnekkt aðaltöflunni, svo lestu bæði reglurnar og leiðirnar. Regla sem sendir merktar umferð í aðra töflu vinnur áður en aðaltaflan er skoðuð. Þannig getur eitt forrit verið áfram á líkamlega tenginu á meðan allt annað notar göngin.

ip rule show

Windows ræður því með mæligildum

Á Windows er sigurvegarinn leiðin með lægsta mæligildið fyrir áfangastaðinn, og tveir viðskiptavinir geta báðir sett upp sjálfgefna leið með mismunandi mæligildum. Lestu töfluna og tengistillinguna saman, því millistykkið með lægra mæligildið er ekki alltaf það sem þú átt von á. Viðskiptavinur sem stillir líka tengimæligildi getur fært sjálfgefnu leiðina án þess að bæta við einni einustu leið. Millistykkið sem tapar helst í gangi og fær einfaldlega ekkert.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Berðu saman tvær úttaksskýrslurnar og nefndu tengið sem á 0.0.0.0/0. Ef báðir viðskiptavinir gera tilkall til þess ræður mæligildið, og þess vegna getur prófun á röð tenginga virst ósamkvæm milli véla. Ef ekkert úttakið sýnir sjálfgefið hlið keyrir viðskiptavinurinn ekki í fullum göngum og röksemdin um keðjuna er marklaus.

Tveir áhorfendur, tvær ólíkar sýn

Fjarlæga hliðið sér eina tengingu koma frá ytri útgöngunni auk alls sem viðskiptavinurinn sendir áfram í göngin sín. Staðbundni viðskiptavinurinn sér millistykki, leiðir og tilvist annarra ganga, því hann keyrir með heimildir til að búa þau til. Aðgreining þessara sýna er málið; fullyrðingin um að viðskiptavinurinn geti ekki tekið eftir er það ekki.

Gefðu þér að viðskiptavinurinn geti talið upp hvað sem hann vill, og skipuleggðu fyrir sýn hliðsins í staðinn. Hönnun sem byggir á því að viðskiptavinurinn haldist blindur er ein uppfærsla frá því að brotna.

DNS og IPv6 eru þar sem keðjan lekur

DNS fylgir þeirri leysandastillingu sem vinnur, og það er ekki endilega sú leið sem pakkarnir fara. Fyrirtækjaleysandi sem næst í gegnum fyrirtækjagöngin er í samræmi við hönnunina; staðbundinn leysandi sem næst utan þeirra er það ekki, og hann afhjúpar nöfn sem göngunum var ætlað að fela. IPv6 er önnur lekan: tvístafla hýsing notar áfram IPv6 í átt að áfangastöðum sem göngin flytja aðeins yfir IPv4. Athugaðu fjölskyldurnar aðskilið, því göng sem eru aðeins IPv4 segja ekkert um IPv6 leiðir eða leysendur.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Lagaðu leysandann og IPv6 leiðina viljandi í stað þess að stafla annarri göngum ofan á. Tvöföld innpakning kostar líka MTU, svo minna innra MTU er það fyrsta sem prófa ætti þegar síður stíflast eftir að keðjan kemst upp. Leysandi sem svarar hratt er ekki sönnun þess að hann sé rétti leysandinn.