Svečio VPN ir pagrindinio kompiuterio VPN: kuris maršrutas iš tikrųjų laimi

Du klientai veikia vienu metu, kiekvienas įsitikinęs, kad jam priklauso numatytasis maršrutas, o simptomas pasirodo kaip kažkas keisto: viena svečio programa veikia, kita išsprendžiama netinkamoje vietoje. VPN svečio viduje ir VPN pagrindiniame kompiuteryje gali egzistuoti kartu, bet tik tada, kai išorinis kelias ir vidinė politika sutaria, kas ką neša. Abiejų paleidimas savaime grandinės nesukuria. Pirmiausia užsirašykite prisijungimo būdą, tada keiskite po vieną dalyką.

Pirmiausia užsirašykite svečio prisijungimo būdą

Svečias pasiekia savo VPN serverį tuo keliu, kurį jam davė hipervizorius: NAT už pagrindinio kompiuterio, tiltas į fizinį segmentą arba tik pagrindiniam kompiuteriui skirtas tinklas su viršuje pridėtu maršrutizavimu. Kiekvienas prisijungimo būdas keičia, ką svečias gali matyti ir ką pagrindinis kompiuteris gali daryti su jo srautu. Po NAT svečio paketai atrodo ateinantys iš pagrindinio kompiuterio, todėl jo paties tunelis gali juos nešti svečiui apie tai nieko nežinant. Po tiltu svečias turi savo buvimą segmente ir savo numatytąją tinklo vartų sistemą.

Užsirašykite prisijungimo būdą prieš liesdami bet kokią konfigūraciją, kartu su tuo, kuris klientas turėtų nešti kurią programą. Tas sakinys išsprendžia daugumą tokių atvejų, nes du klientai paprastai pastatyti ant skirtingų prielaidų. Svečias, kuris turėtų naudoti pagrindinio kompiuterio tunelį, neturi turėti ir savo konkuruojančio numatytojo maršruto.

Atsekite svečio galinį tašką į išorę

Svečio VPN reikia tinkamo kelio į savo serverį, kol dar niekas kitas negali veikti. Kai pagrindinio kompiuterio tunelis veikia ir svečias sėdi už NAT, svečio rankos paspaudimas išeina per pagrindinio kompiuterio tunelį, o tai yra arba projektas, arba nelaimė, kurios niekas neužfiksavo. Kai pagrindinio kompiuterio tunelis krenta ir svečias nuo jo priklausė, svečias praranda ryšį be nė vieno pakeitimo savo pusėje. Galinio taško atsekimas į išorę pasako, kuris iš tų dviejų atvejų iš tikrųjų yra jūsų.

Platus maršrutas bet kuriame kontekste pagauna srautą, kurio tikėjosi kitas klientas. 0.0.0.0/0 maršrutas svečio viduje ir viso tunelio pagrindinio kompiuterio klientas abu pretenduoja į viską, o laimi tas, kuris taikomas paskutinis. Svečio virtualiųjų tinklų, vietinio LAN ir nuotolinių tinklų persidengimai duoda tą patį poveikį privatiems prefiksams, o gedimai primena autentifikavimo problemas; adresų vertimo elgsena yra ta pati, kuri aprašyta konteinerių tinklams.

Palyginkite įrašą prieš ir po

Paimkite bazinę liniją su išjungtu pagrindinio kompiuterio tuneliu arba bet kurioje kontroliuojamoje būsenoje, kurią leidžia jūsų politika, ir užrašykite svečio maršrutą bei sprendiklį. Tada pritaikykite sujungtą konfigūraciją ir palyginkite abu įrašus, išsaugodami privatumo reikalavimus. Jei tiesioginė bazinė linija netinka, įrašykite tą apribojimą į įrašą, o ne praleiskite palyginimą.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Maršruto užklausa įvardija sąsają ir šaltinio adresą, kurie neštų konkrečią paskirties vietą, ir tai yra naudingiausia eilutė šiame tyrime. Taisyklių sąrašas rodo, ar politikos maršrutizavimas siunčia kai kurias paskirties vietas per antrą lentelę. Sprendiklio išvestis rodo, ar DNS sekė svečio tuneliu, ar liko pagrindinio kompiuterio kelyje. Paleiskite tas pačias tris komandas prieš ir po pakeitimo, ir skirtumas įvardys kaltininką.

Išlaikykite nuosavybę aiškią tarp perkrovimų

Pagrindinio kompiuterio kliento vietinės prieigos apribojimas gali blokuoti srautą į virtualų NAT ar tiltą, ir tas apribojimas dažnai painiojamas su svečio prisijungimo duomenų problema. Skaitykite dokumentuotą kliento elgseną, o ne išjunkite apribojimą, kad testas praeitų. Po palaikomo pataisymo dar kartą patikrinkite svečio programą ir reikalaujamą gedimo politiką. Pagrindinis kompiuteris, kuris sėkmingai prisijungia iš naujo, nieko neįrodo apie svečio maršrutą ar sprendiklį.

Nuspręskite, kuri pusė valdo numatytąjį maršrutą, ir užrašykite tai eksploatavimo vadove. Svečio perkrovimas ar tinklo perjungimas pagrindiniame kompiuteryje, kuris tyliai apverčia nuosavybę, sukuria klaidos ataskaitą apie VPN, kuris niekada nebuvo kaltas. Tvarka turėtų išgyventi perkrovimą niekam neatsimenant, kodėl ji veikė.