Зошто локалната рута ја победува стандардната рута на VPN

Печатачот на бирото продолжува да работи откако тунелот ќе се крене, додека серверот во другата канцеларија тивко се разрешува на нешто локално. Двете однесувања доаѓаат од истото правило: победува најконкретната рута, а директно поврзаниот префикс е колку што може поконкретен. Обично тоа е дизајнот што го сакате, и токму така дупликат приватниот опсег краде далечна адреса. Читањето на изборот на јадрото прво претвора мистериозен дефект во споредба на префикси.

Поврзан префикс е поконкретен од стандардна рута

Тунелот обично инсталира стандардна рута или збир префикси, додека локалниот интерфејс носи поврзан префикс плус рута до целата LAN. Помеѓу нив одлучува совпаѓањето на најдолгиот префикс, затоа дестинацијата во префиксот на LAN никогаш не стигнува до тунелот. Затоа печатачот, административната страница на рутерот и локалниот NAS остануваат достапни додека VPN е вклучен. Затоа и далечен ресурс во опсег што се преклопува оди на погрешната машина.

Приватниот адресен простор не е единствен, а тоа што две локации избираат ист префикс е доволно честа појава за да се планира. Кога опсезите се преклопуваат, локалниот одговор доаѓа брзо и изгледа авторитативно, затоа дефектот лесно се чита погрешно како проблем со најавување. Дестинацијата одговори, само не таа што ја мислевте.

Прочитајте го изборот што јадрото би го направило

Прашајте го јадрото која рута би ја користело за точната дестинација наместо да ја читате табелата од горе. Потоа побарајте правила за политика што би можеле да изберат друга табела. Две наредби одговараат на двете прашања за неколку секунди.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Првиот излез го именува интерфејсот, следниот скок и изворната адреса што би ги користело јадрото, и тоа е одговорот што е важен. Вредност dev што покажува на локалниот мост значи дека пакетот никогаш не влегува во тунелот, што и да тврди панелот со состојба на VPN клиентот. Филтрираната листа на табели покажува дали друга табела го држи истиот префикс, а листата со правила го покажува редот во кој тие табели се консултираат. Правило за политика може да испрати префикс низ одредена табела дури и кога главната табела не се согласува, затоа тој ред е дел од одговорот.

Локалниот пристап е посебна дозвола

Да се има рута не е исто што и да се има дозвола да се користи. Повеќето клиенти можат да ја блокираат локалната мрежна комуникација додека тунелот е кренат, и тоа поставување е одлука за политика, а не артефакт на рутирање. Кога доверлива блиска услуга припаѓа на дизајнот, вклучете ја поддржаната опција за локален пристап наместо да измислувате рути. Кога уредот е на јавна Wi-Fi, оставете ја исклучена.

Двата слоја откажуваат различно. Блокиран локален пат дава истек на време иако рутата постои, додека рута што се преклопува дава одговор од погрешен хост. Нивното разликување чини едно барање и заштедува попладне промени на огнениот ѕид, а распоредот за проследување е опишан во белешките на strongSwan за проследување.

Поправете преклопување без натрупување хост рути

Хост рута за една адреса изгледа како да го поправа преклопувањето и откажува во моментот кога ќе треба втора адреса во истиот опсег. По дваесет такви, никој не може да каже кој префикс е меродавен. Трајни решенија се промена на адресирањето, документирана топологија што го избегнува дупликатот опсег или превод на едниот крај. Секое чини време за планирање еднаш, наместо одржување засекогаш.

Ако привремена хост рута навистина е потребна, запишете до неа причината, сопственикот и датумот за да може подоцна да се отстрани. Потоа тестирајте ја точната адреса и услугата плус јавна дестинација, бидејќи промена во локалниот пристап што тивко исклучува неповрзани апликации од тунелот е полоша од првичната дефект. Држете го локалниот префикс и далечниот префикс запишани одделно; таа навика спречува работен локален ping да се пренесува како доказ дека далечната канцеларија е достапна.