Firwat eng lokal Route d'Standardroute vun der VPN schléit

Den Drécker um Dësch funktionéiert weider, nodeems den Tunnel eropgeet, während e Server am anere Büro sech stëll op eppes Lokales opléist. Béid Verhalen kommen aus der selwechter Regel: déi spezifëschst Route gewënnt, an e direkt verbonne Prefix ass sou spezifesch wéi et geet. Normalerweis ass dat den Design, deen Dir wëllt, an et ass och wéi eng duebel privat Range eng distanziert Adress klaut. Fir d'Wiel vum Kernel ze liesen, mécht eng mysteriéis Feelfunktioun zu engem Prefixvergläich.

E verbonne Prefix ass méi spezifesch wéi eng Standardroute

En Tunnel installéiert normalerweis eng Standardroute oder eng Rei Prefixen, während eng lokal Interface e verbonne Prefix plus eng Route zum ganzen LAN dréit. Tëscht hinnen entscheet déi längst Prefix-Iwwereneestëmmung, also erreecht en Zil bannent dem LAN-Prefix den Tunnel ni. Dofir bleiwen en Drécker, d'Administratiounssäit vun engem Router an en lokalen NAS erreechbar, während d'VPN un ass. Dofir geet och eng distanziert Ressource bannent enger iwwerlappender Range op déi falsch Maschinn.

Den private Adressraum ass net eenzegaarteg, an datt zwou Plazen dee selwechte Prefix wielen, ass heefeg genuch fir et anzeplangen. Wann d'Rangen sech iwwerlappen, kënnt déi lokal Äntwert séier a gesäit autoritär aus, also läit sech de Feeler liicht als Loginproblem falsch liesen. D'Zil huet geäntwert, just net déi, déi Dir gemengt hutt.

Liest d'Wiel, déi de Kernel géif maachen

Frot de Kernel, wéi eng Route hie fir dat genau Zil géif benotzen, amplaz d'Tabell vun uewen ze liesen. Da sicht no Politikregelen, déi eng aner Tabell kéinten auswielen. Zwou Kommandoen äntweren op béid Froen a wéinege Sekonnen.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Déi éischt Ausgab nennt d'Interface, den nächsten Hop an d'Quelladress, déi de Kernel géif benotzen, an dat ass d'Äntwert déi zielt. En dev-Wäert, deen op déi lokal Bréck weist, heescht, datt de Paket ni an den Tunnel kënnt, wat och ëmmer de Statuspanel vum VPN-Client behaapt. D'gefiltert Tabelllëscht weist, ob eng aner Tabell dee selwechte Prefix hält, an d'Regellëscht weist d'Reiefolleg, an där déi Tabellen consultéiert ginn. Eng Politikregel kann e Prefix duerch eng bestëmmten Tabell schécken och wann d'Haapttabell net eens ass, also ass déi Reiefolleg Deel vun der Äntwert.

Lokalen Zougang ass eng eege Erlaabnes

Eng Route ze hunn ass net datselwecht wéi d'Erlaabnes ze hunn, se ze benotzen. Déi meescht Clienten kënnen déi lokal Netzwierkkommunikatioun blockéieren, während den Tunnel erop ass, an déi Astellung ass eng Politikentscheedung, net en Artefakt vum Routing. Wann en vertrauenswürdege Service an der Géigend zum Design gehéiert, aktivéiert déi ënnerstëtzt Optioun fir lokalen Zougang, amplaz Routen ze erféieren. Wann d'Apparat an engem ëffentleche Wi-Fi ass, loosst se aus.

Déi zwou Schichte schloe verschidden fehl. En blockéierte lokale Wee gëtt en Timeout, obwuel d'Route existéiert, während eng iwwerlappend Route eng Äntwert vum falschen Host gëtt. Se z'ënnerscheeden kascht eng Ufro a spuert en Nomëtteg un Firewall-Ännerungen, an d'Weiderleedungsarrangement ass an d'Weiderleedungsnotize vu strongSwan beschriwwen.

Fléckt eng Iwwerlappung ouni Hostrouten opzestapelen

Eng Hostroute fir eng Adress schéngt eng Iwwerlappung ze flécken a fällt an deem Moment aus, wou eng zweet Adress an der selwechter Range gebraucht gëtt. Zwanzeg dovun duerno kann keen soen, wéi ee Prefix autoritär ass. Déi dauerhaft Léisunge sinn eng Ännerung vun der Adresséierung, eng dokumentéiert Topologie déi déi duebel Range ëmgeet, oder eng Iwwersetzung op engem Enn. Jidderee kascht eemol Planungszäit amplaz Ënnerhalt fir ëmmer.

Wann eng temporär Hostroute wierklech néideg ass, schreift de Grond, den Eegentemer an den Datum derbäi, sou datt se spéider ka geläscht ginn. Test dann déi genau Adress an de Service plus en ëffentlecht Zil, well eng Ännerung vum lokalen Zougang, déi onbetraffe Applikatiounen stëll aus dem Tunnel ausschléisst, ass schlëmmer wéi de urspréngleche Feeler. Halt de lokale Prefix an de distanzéierte Prefix getrennt opgeschriwwen; déi Gewunnecht verhënnert, datt e funktionéierende lokale Ping als Beweis ronderëmgeet, datt dee distanzéierte Büro erreechbar ass.