Kāpēc lokālais maršruts pārspēj VPN noklusējuma maršrutu

Printeris uz galda turpina darboties pēc tam, kad tunelis ir uzcēlies, bet serveris otrā birojā klusi atrisinās uz kaut ko lokālu. Abas uzvedības nāk no viena noteikuma: uzvar konkrētākais maršruts, un tieši pievienotais prefikss ir tik konkrēts, cik vien iespējams. Parasti tas ir vēlamais dizains, un tieši tā dublēts privātais diapazons nozog attālinātu adresi. Vispirms izlasot kodola izvēli, noslēpumaina kļūda pārvēršas prefiksu salīdzinājumā.

Pievienotais prefikss ir konkrētāks par noklusējuma maršrutu

Tunelis parasti instalē noklusējuma maršrutu vai prefiksu kopu, bet lokālā saskarne nes pievienoto prefiksu un maršrutu uz visu LAN. Starp tiem izlemj garākā prefiksa atbilstība, tāpēc galamērķis LAN prefiksa iekšienē nekad nesasniedz tuneli. Tāpēc printeris, maršrutētāja administrēšanas lapa un lokālais NAS paliek sasniedzami, kamēr VPN ir ieslēgts. Tāpēc arī attālinātais resurss pārklājošā diapazonā nonāk nepareizajā mašīnā.

Privātā adrešu telpa nav unikāla, un divu vietņu izvēlēts viens un tas pats prefikss ir pietiekami ierasts, lai to plānotu. Kad diapazoni pārklājas, lokālā atbilde nāk ātri un izskatās autoritatīva, tāpēc kļūdu viegli nepareizi nolasīt kā pieteikšanās problēmu. Galamērķis atbildēja, tikai ne tas, ko domājāt.

Izlasiet izvēli, ko kodols izdarītu

Pajautājiet kodolam, kuru maršrutu tas izmantotu precīzajam galamērķim, nevis lasiet tabulu no augšas. Pēc tam meklējiet politikas noteikumus, kas varētu izvēlēties citu tabulu. Divas komandas atbild uz abiem jautājumiem dažu sekunžu laikā.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Pirmā izvade nosauc saskarni, nākamo lēcienu un avota adresi, ko kodols izmantotu, un tā ir svarīgā atbilde. Vērtība dev, kas norāda uz lokālo tiltu, nozīmē, ka pakete nekad neiekļūst tunelī, ko vien apgalvo VPN klienta statusa panelis. Filtrētais tabulu saraksts parāda, vai citā tabulā ir tas pats prefikss, un noteikumu saraksts parāda secību, kādā šīs tabulas tiek konsultētas. Politikas noteikums var nosūtīt prefiksu caur konkrētu tabulu pat ja galvenā tabula nepiekrīt, tāpēc šī secība ir atbildes daļa.

Lokālā piekļuve ir atsevišķa atļauja

Maršruta esamība nav tas pats, kas atļauja to izmantot. Lielākā daļa klientu var bloķēt lokālo tīkla saziņu, kamēr tunelis ir uzcelts, un šis iestatījums ir politikas lēmums, nevis maršrutēšanas artefakts. Kad uzticams tuvējais pakalpojums pieder dizainam, ieslēdziet atbalstīto lokālās piekļuves opciju, nevis izdomājiet maršrutus. Kad ierīce ir publiskā Wi-Fi, atstājiet to izslēgtu.

Abi slāņi neizdodas atšķirīgi. Bloķēts lokālais ceļš rada taimautu, lai gan maršruts pastāv, bet pārklājošs maršruts rada atbildi no nepareizā hosta. Tos atšķirt maksā vienu vaicājumu un ietaupa pēcpusdienu ugunsmūra izmaiņu, un pārsūtīšanas kārtība aprakstīta strongSwan pārsūtīšanas piezīmes.

Izlabojiet pārklāšanos, neuzkrājot hostu maršrutus

Hosta maršruts vienai adresei šķietami izlabo pārklāšanos un sabrūk tajā brīdī, kad vajadzīga otra adrese tajā pašā diapazonā. Pēc divdesmit tādiem neviens nevar pateikt, kurš prefikss ir autoritatīvs. Ilgtspējīgi risinājumi ir adresācijas maiņa, dokumentēta topoloģija, kas izvairās no dublētā diapazona, vai tulkošana vienā galā. Katrs maksā plānošanas laiku vienreiz, nevis uzturēšanu mūžīgi.

Ja īslaicīgs hosta maršruts tiešām ir vajadzīgs, blakus pierakstiet iemeslu, īpašnieku un datumu, lai to vēlāk varētu noņemt. Pēc tam pārbaudiet precīzo adresi un pakalpojumu plus publisku galamērķi, jo lokālās piekļuves izmaiņa, kas klusi izslēdz nesaistītas lietotnes no tuneļa, ir sliktāka par sākotnējo kļūmi. Turiet lokālo prefiksu un attālināto prefiksu pierakstītus atsevišķi; šis paradums neļauj strādājošu lokālo ping nodot tālāk kā pierādījumu, ka attālinātais birojs ir sasniedzams.