Divi VPN klienti vienlaikus: kurš uzvar noklusējuma maršrutu?

Divu VPN klientu darbināšana vienlaikus ir maršrutēšanas strīds, nevis privātuma iestatījums. Kurš tunelis pārvalda konkrētāko maršrutu, tas saņem datplūsmu, un otrs paliek savienots, bet dīkstāvē. Uzņēmuma vārteja tad redz savienojumu, kas nāk no personīgās izejas, kamēr uzņēmuma klients jūsu mašīnā joprojām redz katru adapteri. Izlemt, kurš no šiem diviem faktiem ir svarīgs, ir viss vingrinājums.

Maršrutu tabula izvēlas vienu uzvarētāju

Uzņemiet tabulu pirms uzņēmuma klienta starta un pēc tam, un lasiet saskarnes kolonnu, nevis tikai galamērķi. Vienkāršs noklusējuma maršruts no ārējā tuneļa ir viegli izstumjams, jo /1 pāris ir konkrētāks par /0. Burtiskais pāris 0.0.0.0/1 un 128.0.0.0/1 aptver visu IPv4 telpu divās daļās un pārspēj jebkuru vienu noklusējuma maršrutu. Pēc instalēšanas ārējais tunelis joprojām tiek rādīts kā savienots un neko nenes.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Uz politiku balstīta maršrutēšana var pilnībā ignorēt galveno tabulu, tāpēc lasiet gan noteikumus, gan maršrutus. Noteikums, kas atzīmēto datplūsmu sūta uz citu tabulu, uzvar pirms galvenās tabulas apskates. Tā viena lietotne var palikt uz fiziskās saites, kamēr viss pārējais izmanto tuneli.

ip rule show

Windows to izšķir ar metrikām

Operētājsistēmā Windows uzvarētājs ir maršruts ar zemāko metriku galamērķim, un divi klienti var abi instalēt noklusējuma maršrutu ar dažādām metrikām. Lasiet tabulu un saskarnes konfigurāciju kopā, jo adapters ar zemāko metriku ne vienmēr ir tas, ko gaidāt. Klients, kas iestata arī saskarnes metriku, var pārvietot noklusējuma maršrutu, nepievienojot nevienu maršrutu. Zaudējušais adapters paliek ieslēgts un vienkārši neko nesaņem.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Salīdziniet abas izejas un nosauciet saskarni, kurai pieder 0.0.0.0/0. Ja abi klienti uz to pretendē, izšķir metrika, tāpēc savienojuma kārtības tests dažādās mašīnās var izskatīties nekonsekvents. Ja neviena izvade nerāda noklusējuma vārteju, klients nedarbojas pilnā tunelī un ķēdes arguments zaudē jēgu.

Divi novērotāji, divi atšķirīgi skati

Attālā vārteja redz vienu savienojumu, kas nāk no ārējās izejas, plus visu, ko klients pārsūta savā tunelī. Vietējais klients redz adapterus, maršrutus un cita tuneļa esamību, jo darbojas ar tiesībām tos izveidot. Šo skatu atdalīšana ir būtība; apgalvojums, ka klients to nevar pamanīt, nav.

Pieņemiet, ka klients var uzskaitīt, ko vēlas, un plānojiet vārtejas skatam. Dizains, kas atkarīgs no klienta akluma, ir vienu atjauninājumu no salūšanas.

DNS un IPv6 ir vietas, kur ķēde noplūst

DNS seko tam resolvera iestatījumam, kurš uzvar, un tas ne vienmēr ir ceļš, pa kuru iet paketes. Uzņēmuma resolveris, kas sasniegts caur uzņēmuma tuneli, atbilst dizainam; vietējais resolveris, kas sasniegts ārpus tā, neatbilst, un tas atklāj vārdus, kurus tunelim bija jāslēpj. IPv6 ir otrā noplūde: divkāršā steka resursdators turpina izmantot IPv6 uz galamērķiem, kurus tunelis pārvadā tikai pa IPv4. Pārbaudiet saimes atsevišķi, jo tunelis tikai ar IPv4 neko nepasaka par IPv6 maršrutiem vai resolveriem.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Labojiet resolveri un IPv6 maršrutu apzināti, nevis kraujiet otru tuneli virsū. Divkāršā iekapsulēšana maksā arī MTU, tāpēc mazāks iekšējais MTU ir pirmais, ko izmēģināt, kad lapas iestrēgst pēc ķēdes uzstādīšanas. Resolveris, kas atbild ātri, nav pierādījums, ka tas ir pareizais.