Два VPN клиенти, една табела за рутирање: кој ја добива стандардната рута

Изгледа како два VPN клиенти да се борат за истиот сокет, а очигледното решение мора да биде да се отстрани едниот. Во практиката ретко го допираат истиот сокет. Секое поврзување ја препишува табелата за рутирање на оперативниот систем, а профилот со целосен тунел ја бара стандардната рута. Обично победува тој што се поврзал последен, затоа симптомот изгледа како да се преместува меѓу клиентите.

Конфликтот живее во табелата за рутирање

Виртуелен адаптер плус стандардна рута е начинот на кој целосниот тунел го фаќа сообраќајот. Кога вториот клиент ја инсталира својата стандардна рута, постариот запис се заменува или се намалува со метрика, и секое одредиште сега патува низ поновиот тунел. Првиот клиент останува поврзан и понатаму покажува зелена икона, значи интерфејсот е активен додека патеката исчезнала. Токму тоа разделување на состојбата на врската и состојбата на рутирањето го прави однесувањето збунувачко.

Клиентите се уредници на една заедничка табела. Знаењето која измена била последна објаснува речиси секој симптом.

Прочитајте кој тунел ја поседува тековната патека

Проверете ја вистинската одлука наместо да му верувате на клиентот што известува дека е поврзан. Прашајте го системот кој интерфејс би ја пренел конкретната дестинација.

ip route get 10.20.0.5
route print -4

Првата команда го именува интерфејсот и изворната адреса за едно одредиште, а тоа е точно прашањето што ве интересира. Исписот на рути ги покажува конкурентните стандардни записи и нивните метрики на Windows, па гледате кој моментално победува. Извршете го барањето за еден домаќин во секоја оддалечена мрежа, бидејќи едно одредиште може да биде точно додека другата мрежа е недостапна. Ако одговорот го именува погрешниот тунел, повторното поврзување нема да помогне; политиката за рутирање мора да се промени.

Спречете го вториот клиент да присвојува сите одредишта

Еден клиент треба да ја поседува стандардната рута, а другиот да ги носи само сопствените префикси. OpenVPN клиентите можат да го одбијат тоа што серверот го турка.

pull-filter ignore "redirect-gateway"
ip route get 10.30.4.10

route-nopull го игнорира секој турнат маршрут, додека pull-filter ignore "redirect-gateway" ја отфрла само директивата за стандардна рута и ги задржува турнатиот DNS и другите опции. Изберете меѓу нив според тоа колку од конфигурацијата на серверот уште сакате, потоа додајте ги конкретните префикси што и требаат на втората мрежа. Имајте го на ум DNS, бидејќи резолверот турнат од тунел што не ги носи барањата не враќа ништо. Тестирајте еден познат домаќин во секоја мрежа и потврдете ја изворната адреса што ја гледа оддалечената страна.

Мрежите што се преклопуваат не можат да се заобиколат

Кога двете мрежи објавуваат ист префикс, кернелот држи еден запис за две различни места и мора да избере. Рутата до домаќин не може да ја измисли разликата што недостасува, а ни прилагодувањето на метриката. Пренумерирајте една страна или нека нејзиниот администратор го преведе оддалечениот опсег за да се разликуваат префиксите. Проверете ги вистинските подмрежи пред да ги обвините клиентите, бидејќи стандардната вредност 192.168.1.0/24 на домашен рутер се судира со канцелариски опсег почесто отколку што некој очекува. Запишете ги двата опсези во тикетот за следната промена повторно да не го создаде преклопувањето.

Одвојте и две цели: стигнувањето до двете мрежи е проблем на рутирање, додека поврзувањето тунели во синџир за приватност е поинаков дизајн со дополнителен оператор на патеката. Не користете го едното за да го решите другото.