Бір уақытта екі VPN клиенті: әдепкі маршрутты кім жеңеді?

Екі VPN клиентін бір уақытта іске қосу — маршруттау туралы пікірталас, құпиялылық параметрі емес. Қай туннель нақтырақ маршрутқа ие болса, сол трафикті алады, ал екіншісі қосылған күйде бірақ бос тұрады. Корпоративтік шлюз сонда жеке шығудан келетін қосылымды көреді, ал машинаңыздағы корпоративтік клиент әлі де әрбір адаптерді көреді. Осы екі фактінің қайсысы маңызды екенін шешу — бүкіл жаттығу.

Маршрут кестесі бір жеңімпазды таңдайды

Корпоративтік клиент іске қосылғанға дейін және кейін кестені түсіріп, тек межелі жерді емес, интерфейс бағанын оқыңыз. Сыртқы туннельдің қарапайым әдепкі маршрутын ығыстыру оңай, өйткені /1 жұбы /0-ден нақтырақ. 0.0.0.0/1 және 128.0.0.0/1 әріптік жұбы бүкіл IPv4 кеңістігін екі жартыда қамтиды және кез келген жалғыз әдепкіден басым түседі. Орнатылғаннан кейін сыртқы туннель қосылған күйде көрінеді және ештеңе тасымайды.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Саясат негізіндегі маршруттау негізгі кестені толығымен айналып өте алады, сондықтан ережелерді де, маршруттарды да оқыңыз. Белгіленген трафикті басқа кестеге жіберетін ереже негізгі кестеге жүгінбес бұрын жеңеді. Осылайша бір қолданба физикалық байланыста қала алады, қалғаны туннельді пайдаланғанда.

ip rule show

Windows мұны метрикалармен шешеді

Windows-та жеңімпаз — межелі жер үшін ең төмен метрикасы бар маршрут, және екі клиент те әртүрлі метрикалармен әдепкі маршрут орната алады. Кестені және интерфейс конфигурациясын бірге оқыңыз, өйткені метрикасы төмен адаптер әрдайым күткеніңіз емес. Интерфейс метрикасын да орнататын клиент бірде-бір маршрут қоспай-ақ әдепкіні жылжыта алады. Жеңілген адаптер қосулы қалады және жай ғана ештеңе алмайды.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

0.0.0.0/0 ие интерфейсті атап, екі шығысты салыстырыңыз. Егер екі клиент те оған таласса, метрика шешеді, сондықтан қосылу ретінің сынағы әртүрлі машиналарда сәйкессіз көрінуі мүмкін. Егер шығыстардың ешқайсысы әдепкі шлюзді көрсетпесе, клиент толық туннельде жұмыс істемейді және тізбек дәлелі мағынасыз.

Екі бақылаушы, екі түрлі көзқарас

Қашықтағы шлюз сыртқы шығудан келетін бір қосылымды және клиент өз туннеліне жібергеннің бәрін көреді. Жергілікті клиент адаптерлерді, маршруттарды және басқа туннельдің бар екенін көреді, өйткені оларды жасау құқығымен жұмыс істейді. Осы көзқарастарды ажырату — мәселенің мәні; клиент байқамайды деп мәлімдеу емес.

Клиент қалағанын санай алады деп есептеңіз және оның орнына шлюздің көзқарасына жоспарлаңыз. Клиенттің соқыр болып қалуына тәуелді дизайн бұзылудан бір жаңарту қашықтықта.

DNS және IPv6 — тізбек ағып кететін жерлер

DNS жеңген шешуші параметріне сүйенеді, және бұл пакеттер жүретін жол міндетті түрде емес. Корпоративтік туннель арқылы жететін корпоративтік шешуші дизайнға сәйкес; оның сыртында жететін жергілікті шешуші олай емес, және туннель жасыруы тиіс атауларды әшкерелейді. IPv6 — екінші ағу: қос стекті хост туннель тек IPv4 арқылы таситын межелі жерлерге IPv6 қолдануды жалғастырады. Отбасыларды бөлек тексеріңіз, өйткені тек IPv4 туннелі IPv6 маршруттары немесе шешушілері туралы ештеңе айтпайды.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Шешуші мен IPv6 маршрутын әдейі түзетіңіз, үстіне екінші туннель қабаттаудың орнына. Қосарланған инкапсуляция MTU-ға да тұрады, сондықтан тізбек көтерілгеннен кейін беттер тұрып қалса, ең алдымен кішірек ішкі MTU көру керек. Жылдам жауап беретін шешуші оның дұрыс екеніне дәлел емес.