Zwee VPN-Clients gläichzäiteg: wien gewënnt d'Standardroute?

Zwee VPN-Clients gläichzäiteg lafen ze loossen ass eng Routing-Diskussioun, keng Privatsphär-Astellung. Wien Tunnel déi méi spezifesch Route besëtzt, kritt den Traffic, an deen aneren bleift verbonnen awer idlen. D'Firmegateway gesäit dann eng Verbindung, déi vum perséinlechen Ausgang kënnt, während de Firmenclient op Ärem Rechner nach ëmmer all Adapter gesäit. Ze entscheeden wéi eng vun deenen zwou Tatsaachen zielt, ass déi ganz Übung.

D'Routentabell wielt ee Gewënner

Maacht d'Tabell virun an no dem Start vum Firmenclient a liest d'Interface-Kolonn amplaz just d'Destinatioun. Eng einfach Standardroute aus dem äusseren Tunnel ass liicht ze verdrängen, well en /1-Puer méi spezifesch ass wéi /0. Dat wuertwiertlecht Puer 0.0.0.0/1 an 128.0.0.0/1 deckt de ganzen IPv4-Raum an zwou Hälften of a schléit all eenzeg Standardroute. Nodeems et installéiert ass, weist den äusseren Tunnel nach ëmmer verbonnen a dréit näischt.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Policy-Routing kann d'Haapttabell komplett iwwergoen, also liest d'Reegelen souwéi d'Routen. Eng Reegel déi markéierten Traffic an eng aner Tabell schéckt gewënnt ier d'Haapttabell iwwerhaapt consultéiert gëtt. Sou kann eng Applikatioun um physesche Link bleiwen, während alles anescht den Tunnel benotzt.

ip rule show

Windows entscheet et mat Metriken

Op Windows ass de Gewënner d'Route mat der niddregster Metrik fir d'Destinatioun, an zwee Clients kënnen allebéid eng Standardroute mat verschiddene Metriken installéieren. Liest d'Tabell an d'Interface-Konfiguratioun zesummen, well den Adapter mat der niddreger Metrik net ëmmer deen ass, deen Dir erwaart. E Client deen och eng Interface-Metrik setzt, kann d'Standardroute verréckelen ouni eng eenzeg Route bäizefüügen. Den Adapter dee verléiert bleift un a kritt einfach näischt.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Vergläicht déi zwou Ausgaben a nennt den Interface deen 0.0.0.0/0 besëtzt. Wann béid Clients se behaapten, entscheet d'Metrik, dofir kann en Test vun der Verbindungsuerdnung op verschiddene Maschinnen inkonsistent ausgesinn. Wann keng vun den Ausgaben en Standardgateway weist, leeft de Client net am Volltunnel an d'Kettenargument ass géigestandslos.

Zwee Observateuren, zwou verschidde Siichten

Déi entfernte Gateway gesäit eng Verbindung déi vum äusseren Ausgang kënnt plus alles wat de Client an säin Tunnel weiderleet. De lokale Client gesäit Adapter, Routen an d'Existenz vun engem aneren Tunnel, well en mat Rechter leeft fir se ze schafen. Dës Siichten ze trennen ass de Punkt; ze behaapten de Client kéint et net bemierken ass et net.

Gitt dovun aus datt de Client ka oplëschten wat en wëllt, a plangt amplaz fir d'Siicht vun der Gateway. En Design deen dovun ofhängt datt de Client blann bleift ass eng Aktualiséierung vum Broch ewech.

DNS an IPv6 sinn déi Plaze wou d'Kette leckt

DNS follegt där Resolver-Astellung déi gewënnt, an dat ass net onbedéngt de Wee deen d'Pakete huelen. En Firmenresolver deen duerch den Firmen-Tunnel erreecht gëtt ass mam Design konsequent; en lokale Resolver deen dobausse erreecht gëtt net, an en deckt Nimm op déi den Tunnel sollte verstoppen. IPv6 ass déi zweet Leck: en Dual-Stack-Host benotzt weider IPv6 a Richtung Destinatiounen déi den Tunnel just iwwer IPv4 dréit. Iwwerpréift d'Familljen getrennt, well en Tunnel nëmmen IPv4 seet näischt iwwer IPv6-Routen oder -Resolvere.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Reparéiert de Resolver an d'IPv6-Route bewosst, amplaz en zweeten Tunnel drop ze stacken. Duebel Kapselung kascht och MTU, also eng méi kleng bannenzeg MTU ass dat éischt wat ze probéieren ass wann Säiten hänke nodeems d'Kette steet. En Resolver deen séier äntwert ass kee Beweis datt et dee richtegen ass.