Kodėl vietinis maršrutas įveikia numatytąjį VPN maršrutą

Spausdintuvas ant stalo toliau veikia po to, kai tunelis pakyla, o serveris kitame biure tyliai išsprendžiamas į ką nors vietinio. Abu elgesiai kyla iš tos pačios taisyklės: laimi konkretiausias maršrutas, o tiesiogiai prijungtas priešdėlis yra kiek įmanoma konkretesnis. Paprastai tai ir yra norimas dizainas, ir būtent taip pasikartojantis privatus diapazonas pavagia nuotolinį adresą. Pirmiausia perskaičius branduolio pasirinkimą, paslaptinga klaida virsta priešdėlių palyginimu.

Prijungtas priešdėlis konkretesnis už numatytąjį maršrutą

Tunelis paprastai įdiegia numatytąjį maršrutą arba priešdėlių rinkinį, o vietinė sąsaja neša prijungtą priešdėlį ir maršrutą į visą LAN. Tarp jų nusprendžia ilgiausio priešdėlio atitiktis, todėl paskirties vieta LAN priešdėlio viduje niekada nepasiekia tunelio. Todėl spausdintuvas, maršrutizatoriaus administravimo puslapis ir vietinis NAS lieka pasiekiami, kol VPN įjungtas. Todėl ir nuotolinis išteklius persidengiančiame diapazone patenka į ne tą mašiną.

Privati adresų erdvė nėra unikali, o dviejų vietovių pasirinktas tas pats priešdėlis yra pakankamai įprastas, kad būtų planuojamas. Kai diapazonai persidengia, vietinis atsakymas ateina greitai ir atrodo autoritetingas, todėl gedimą lengva neteisingai perskaityti kaip prisijungimo problemą. Paskirties vieta atsakė, tik ne ta, kurią turėjote omenyje.

Perskaitykite pasirinkimą, kurį padarytų branduolys

Paklauskite branduolio, kurį maršrutą jis naudotų tiksliai paskirties vietai, užuot skaitę lentelę iš viršaus. Tada ieškokite politikos taisyklių, galinčių pasirinkti kitą lentelę. Dvi komandos atsako į abu klausimus per kelias sekundes.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Pirmasis išvedimas nurodo sąsają, kitą šuolį ir šaltinio adresą, kuriuos branduolys naudotų, ir tai yra svarbus atsakymas. Reikšmė dev, rodanti į vietinį tiltą, reiškia, kad paketas niekada nepatenka į tunelį, ką bebemotų VPN kliento būsenos skydelis. Filtruotas lentelių sąrašas rodo, ar kita lentelė laiko tą patį priešdėlį, o taisyklių sąrašas rodo tvarką, kuria tos lentelės konsultuojamos. Politikos taisyklė gali nusiųsti priešdėlį per konkrečią lentelę net kai pagrindinė lentelė nesutinka, taigi ta tvarka yra atsakymo dalis.

Vietinė prieiga yra atskiras leidimas

Turėti maršrutą nėra tas pats, kas turėti leidimą juo naudotis. Dauguma klientų gali blokuoti vietinį tinklo ryšį, kol tunelis pakeltas, ir šis nustatymas yra politikos sprendimas, o ne maršrutizavimo artefaktas. Kai patikima netolima paslauga priklauso dizainui, įjunkite palaikomą vietinės prieigos parinktį, o ne kurkite maršrutus. Kai įrenginys yra viešame Wi-Fi, palikite ją išjungtą.

Du sluoksniai nepavyksta skirtingai. Užblokuotas vietinis kelias duoda skirtąjį laiką, nors maršrutas egzistuoja, o persidengiantis maršrutas duoda atsakymą iš netinkamo hosto. Juos atskirti kainuoja vieną užklausą ir sutaupo popietę ugniasienės pakeitimų, o persiuntimo tvarka aprašyta strongSwan persiuntimo pastabos.

Ištaisykite persidengimą nesukauptę host maršrutų

Host maršrutas vienam adresui atrodo ištaisantis persidengimą ir sugenda tą akimirką, kai prireikia antro adreso tame pačiame diapazone. Po dvidešimties tokių niekas negali pasakyti, kuris priešdėlis yra autoritetingas. Ilgalaikiai sprendimai yra adresavimo pakeitimas, dokumentuota topologija, išvengianti pasikartojančio diapazono, arba vertimas viename gale. Kiekvienas kainuoja planavimo laiką kartą, o ne priežiūrą amžinai.

Jei laikino host maršruto tikrai reikia, šalia įrašykite priežastį, savininką ir datą, kad jį būtų galima vėliau pašalinti. Tada patikrinkite tikslų adresą ir paslaugą bei viešą paskirties vietą, nes vietinės prieigos pakeitimas, kuris tyliai pašalina nesusijusias programas iš tunelio, yra blogesnis už pradinį gedimą. Laikykite vietinį priešdėlį ir nuotolinį priešdėlį užrašytus atskirai; šis įprotis neleidžia veikiančio vietinio ping perduoti kaip įrodymo, kad nuotolinis biuras pasiekiamas.