Бир эле учурда эки VPN кардары: демейки маршрутту ким утат?

Эки VPN кардарын бир эле учурда иштетүү — маршруттоо талашы, купуялуулук жөндөөсү эмес. Кайсы туннель такыраак маршрутка ээ болсо, ошол трафикти алат, экинчиси туташкан бойдон бош турат. Корпоративдик шлюз ошондо жеке чыгуудан келген туташууну көрөт, ал эми машинаңыздагы корпоративдик кардар дагы эле ар бир адаптерди көрөт. Ушул эки фактынын кайсынысы маанилүү экенин чечүү — бүт көнүгүү.

Маршрут таблицасы бир жеңүүчүнү тандайт

Корпоративдик кардар ишке киргенге чейин жана кийин таблицаны тартып, көздөгөн жерди гана эмес, интерфейс тилкесин окуңуз. Сырткы туннелдин жөнөкөй демейки маршрутун сүрүп салуу оңой, анткени /1 жубу /0-дөн такыраак. 0.0.0.0/1 жана 128.0.0.0/1 тамга жубу бүт IPv4 мейкиндигин эки жарымда камтыйт жана ар кандай жалгыз демейкиден басымдуу. Орнотулгандан кийин сырткы туннель туташкан бойдон көрүнөт жана эч нерсе ташыбайт.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Саясат негизиндеги маршруттоо негизги таблицаны толугу менен четке кага алат, ошондуктан эрежелерди да, маршруттарды да окуңуз. Белгиленген трафикти башка таблицага жөнөткөн эреже негизги таблицага кайрылганга чейин утат. Ошентип бир колдонмо физикалык байланышта кала алат, калганы туннелди колдонгондо.

ip rule show

Windows муну метрикалар менен чечет

Windows-то жеңүүчү — көздөгөн жер үчүн эң төмөн метрикага ээ маршрут, жана эки кардар тең ар башка метрикалар менен демейки маршрут орното алышат. Таблицаны жана интерфейс конфигурациясын чогуу окуңуз, анткени метрикасы төмөн адаптер ар дайым күткөнүңүз эмес. Интерфейс метрикасын да коюучу кардар бир да маршрут кошпой эле демейкини жылдыра алат. Жеңилген адаптер күйүк турат жана жөн гана эч нерсе албайт.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

0.0.0.0/0 ээ болгон интерфейсти атап, эки чыгууну салыштырыңыз. Эгер эки кардар тең ага талашса, метрика чечет, ошондуктан туташуу тартибинин сынагы ар башка машиналарда туура эмес көрүнүшү мүмкүн. Эгер чыгуулардын эч бири демейки шлюзду көрсөтпөсө, кардар толук туннелде иштебейт жана тизмек далили маанисиз.

Эки байкоочу, эки башка көз караш

Алыскы шлюз сырткы чыгуудан келген бир туташууну жана кардар өз туннелине өткөргөнүн көрөт. Жергиликтүү кардар адаптерлерди, маршруттарды жана башка туннелдин бар экенин көрөт, анткени аларды түзүү укугу менен иштейт. Ушул көз караштарды бөлүү — маселенин маңызы; кардар байкабайт деп ырастоо эмес.

Кардар каалаганды санай алат деп эсептеңиз жана анын ордуна шлюздун көз карашына пландаңыз. Кардардын сокур бойдон калышына көз каранды дизайн бузулуудан бир жаңыртуу алыстыкта.

DNS жана IPv6 — тизмек агып кетүүчү жерлер

DNS жеңген чечүүчү жөндөөсүнө ээрчийт, жана бул пакеттер жүргөн жол сөзсүз эмес. Корпоративдик туннель аркылуу жеткен корпоративдик чечүүчү долбоорго шайкеш; анын сыртында жеткен жергиликтүү чечүүчү андай эмес, жана туннель жашырышы керек болгон аттарды ачып берет. IPv6 — экинчи агым: кош стектүү хост туннель IPv4 аркылуу гана ташыган көздөгөн жерлерге IPv6 колдонууну улантат. Үй-бүлөлөрдү өзүнчө текшериңиз, анткени IPv4 гана туннели IPv6 маршруттары же чечүүчүлөрү жөнүндө эч нерсе айтпайт.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Чечүүчүнү жана IPv6 маршрутун атайын оңдоңуз, үстүнө экинчи туннель кабаттоонун ордуна. Кош каптоо MTU-га да турат, ошондуктан тизмек көтөрүлгөндөн кийин барактар тыгылса, эң оболу кичирээк ички MTU көрүү керек. Тез жооп берген чечүүчү анын туура экенине далил эмес.