ორი VPN კლიენტი ერთდროულად: ვინ იგებს ნაგულისხმევ მარშრუტს?

ორი VPN კლიენტის ერთდროულად გაშვება მარშრუტიზაციის კამათია და არა კონფიდენციალურობის პარამეტრი. რომელი ტუნელი ფლობს უფრო კონკრეტულ მარშრუტს, ის იღებს ტრაფიკს, ხოლო მეორე დაკავშირებული რჩება, მაგრამ უმოქმედოდ. კორპორატიული კარიბჭე მაშინ ხედავს კავშირს, რომელიც პირადი გასასვლელიდან მოდის, მაშინ როცა თქვენს მანქანაზე კორპორატიული კლიენტი კვლავ ხედავს ყველა ადაპტერს. ამ ორი ფაქტიდან რომელია მნიშვნელოვანი, სწორედ ამის გადაწყვეტაა მთელი სავარჯიშო.

მარშრუტების ცხრილი ირჩევს ერთ გამარჯვებულს

გადაიღეთ ცხრილი კორპორატიული კლიენტის გაშვებამდე და შემდეგ, და წაიკითხეთ ინტერფეისის სვეტი და არა მხოლოდ დანიშნულება. გარე ტუნელის ჩვეულებრივი ნაგულისხმევი მარშრუტი ადვილად განიდევნება, რადგან /1 წყვილი უფრო კონკრეტულია ვიდრე /0. ლიტერალური წყვილი 0.0.0.0/1 და 128.0.0.0/1 ფარავს მთელ IPv4 სივრცეს ორ ნახევრად და ამარცხებს ნებისმიერ ერთეულ ნაგულისხმევს. დაყენების შემდეგ გარე ტუნელი კვლავ დაკავშირებულად ჩანს და არაფერს ატარებს.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

პოლიტიკით მარშრუტიზაციამ შეიძლება მთლიანად გვერდი აუაროს მთავარ ცხრილს, ამიტომ წაიკითხეთ წესებიც და მარშრუტებიც. წესი, რომელიც მონიშნულ ტრაფიკს სხვა ცხრილში აგზავნის, იმარჯვებს მთავარ ცხრილზე მიმართვამდე. ასე შეიძლება ერთი აპლიკაცია დარჩეს ფიზიკურ ბმულზე, სანამ ყველაფერი დანარჩენი ტუნელს იყენებს.

ip rule show

Windows ამას მეტრიკებით წყვეტს

Windows-ში გამარჯვებულია მარშრუტი დანიშნულებისთვის ყველაზე დაბალი მეტრიკით, და ორ კლიენტს შეუძლია ორივემ დააყენოს ნაგულისხმევი მარშრუტი სხვადასხვა მეტრიკით. წაიკითხეთ ცხრილი და ინტერფეისის კონფიგურაცია ერთად, რადგან დაბალი მეტრიკის ადაპტერი ყოველთვის არ არის ის, რასაც ელოდებით. კლიენტს, რომელიც ასევე აყენებს ინტერფეისის მეტრიკას, შეუძლია ნაგულისხმევი გადაადგილოს ერთი მარშრუტის დამატების გარეშე. წაგებული ადაპტერი ჩართული რჩება და უბრალოდ არაფერს იღებს.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

შეადარეთ ორი გამოსავალი და დაასახელეთ ინტერფეისი, რომელიც ფლობს 0.0.0.0/0-ს. თუ ორივე კლიენტი ითხოვს მას, მეტრიკა წყვეტს, ამიტომაც კავშირის რიგის ტესტი სხვადასხვა მანქანაზე არათანმიმდევრულად შეიძლება გამოიყურებოდეს. თუ არც ერთი გამოსავალი არ აჩვენებს ნაგულისხმევ კარიბჭეს, კლიენტი სრულ ტუნელში არ მუშაობს და ჯაჭვის არგუმენტი უაზროა.

ორი დამკვირვებელი, ორი განსხვავებული ხედვა

დისტანციური კარიბჭე ხედავს ერთ კავშირს, რომელიც გარე გასასვლელიდან მოდის, და ყველაფერს, რასაც კლიენტი თავის ტუნელში გადასცემს. ლოკალური კლიენტი ხედავს ადაპტერებს, მარშრუტებს და სხვა ტუნელის არსებობას, რადგან მუშაობს მათი შექმნის უფლებით. ამ ხედვების გაყოფა არის არსი; იმის მტკიცება, რომ კლიენტი ვერ შეამჩნევს, არ არის.

დავუშვათ, კლიენტს შეუძლია ჩამოთვალოს რაც უნდა, და სამაგიეროდ დაგეგმეთ კარიბჭის ხედვისთვის. დიზაინი, რომელიც კლიენტის ბრმად დარჩენაზეა დამოკიდებული, ერთი განახლებითაა დაშორებული გატეხვას.

DNS და IPv6 არის ის ადგილები, სადაც ჯაჭვი ჟონავს

DNS მიჰყვება იმ რეზოლვერის პარამეტრს, რომელიც იმარჯვებს, და ეს სულაც არ არის ის გზა, რომლითაც პაკეტები მიდიან. კორპორატიული ტუნელით მიღწეული კორპორატიული რეზოლვერი დიზაინს შეესაბამება; მის გარეთ მიღწეული ლოკალური რეზოლვერი არ შეესაბამება, და ის ამხელს სახელებს, რომელთა დამალვაც ტუნელს უნდა. IPv6 მეორე გაჟონვაა: ორმაგი სტეკის ჰოსტი აგრძელებს IPv6-ის გამოყენებას იმ დანიშნულებებისკენ, რომლებსაც ტუნელი მხოლოდ IPv4-ით ატარებს. შეამოწმეთ ოჯახები ცალკე, რადგან მხოლოდ IPv4 ტუნელი არაფერს ამბობს IPv6 მარშრუტებზე ან რეზოლვერებზე.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

გაასწორეთ რეზოლვერი და IPv6 მარშრუტი განზრახ, ზემოდან მეორე ტუნელის დაწყობის ნაცვლად. ორმაგი ინკაფსულაცია MTU-საც ხარჯავს, ამიტომ უფრო პატარა შიდა MTU პირველია, რაც უნდა სცადოთ, როცა გვერდები ჯაჭვის აწევის შემდეგ იჭედება. სწრაფად მპასუხობელი რეზოლვერი არ არის მტკიცებულება, რომ ის სწორია.