Хоёр VPN клиент нэгэн зэрэг: анхдагч маршрутыг хэн ялах вэ?

Хоёр VPN клиентийг нэгэн зэрэг ажиллуулах нь чиглүүлэлтийн маргаан бөгөөд нууцлалын тохиргоо биш юм. Аль туннель илүү тодорхой маршрутыг эзэмшвэл тэр нь урсгалыг авч, нөгөө нь холбогдсон хэвээр боловч идэвхгүй байна. Корпорацийн гарц тэр үед хувийн гаралтаас ирж буй холболтыг хардаг, харин таны машины корпорацийн клиент бүх адаптерыг хараад байна. Эдгээр хоёр баримтаас аль нь чухал болохыг шийдэх нь бүх дасгал юм.

Маршрутын хүснэгт нэг ялагчийг сонгодог

Корпорацийн клиент эхлэхээс өмнө болон дараа нь хүснэгтийг авч, зөвхөн очих газрыг биш интерфейсийн баганыг уншина уу. Гадаад туннелийн энгийн анхдагч маршрутыг түлхэхэд хялбар, учир нь /1 хос /0-ээс илүү тодорхой. 0.0.0.0/1 болон 128.0.0.0/1 гэсэн шууд утгат хос бүх IPv4 орон зайг хоёр хагаст хамарч, ямар ч ганц анхдагчийг дийлнэ. Суулгасны дараа гадаад туннель холбогдсон хэвээр харагдаж, юу ч зөөхгүй.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Бодлогоос хамаарах чиглүүлэлт үндсэн хүснэгтийг бүрэн тойрч болох тул дүрэм болон маршрутыг хоёуланг нь уншина уу. Тэмдэглэсэн урсгалыг өөр хүснэгт рүү илгээдэг дүрэм үндсэн хүснэгтэд хандахаас өмнө ялна. Ингэснээр нэг програмыг физик холбоос дээр үлдээж, бусад бүхэн туннелийг ашиглах боломжтой.

ip rule show

Windows үүнийг метрикээр шийддэг

Windows дээр ялагч нь очих газарт хамгийн бага метрик бүхий маршрут бөгөөд хоёр клиент өөр өөр метрикээр анхдагч маршрут суулгаж болно. Хүснэгт болон интерфейсийн тохиргоог хамт уншина уу, учир нь бага метрик бүхий адаптер үргэлж таны хүлээж байгаа нь биш. Интерфейсийн метрикийг мөн тохируулдаг клиент нэг ч маршрут нэмэхгүйгээр анхдагчийг зөөж чадна. Ялагдсан адаптер асаалттай хэвээр үлдэж, зүгээр л юу ч авдаггүй.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Хоёр гаралтыг харьцуулж, 0.0.0.0/0-ыг эзэмшдэг интерфейсийг нэрлэнэ үү. Хэрэв хоёр клиент түүнийг шаардвал метрик шийднэ, иймээс холболтын дарааллын туршилт өөр машинууд дээр зөрчилтэй харагдаж болно. Хэрэв аль ч гаралт анхдагч гарцыг харуулахгүй бол клиент бүрэн туннельд ажиллахгүй байгаа бөгөөд гинжин маргаан утгагүй.

Хоёр ажиглагч, хоёр өөр харц

Алсын гарц гадаад гаралтаас ирж буй нэг холболт болон клиент өөрийн туннельд дамжуулж буй бүхнийг хардаг. Локал клиент адаптер, маршрут болон өөр туннелийн оршихуйг хардаг, учир нь тэдгээрийг үүсгэх эрхтэй ажилладаг. Эдгээр харцыг салгах нь гол зүйл; клиент анзаарч чадахгүй гэж мэдэгдэх нь биш.

Клиент хүссэн бүхнээ тоолж чадна гэж үзээд, оронд нь гарцын харцад зориулж төлөвлөөрэй. Клиентийн сохор байхыг хүлээдэг загвар эвдрэлээс нэг шинэчлэлээр хол байна.

DNS болон IPv6 нь гинж алдагдах газрууд юм

DNS нь ялсан шийдэгчийн тохиргоог дагадаг бөгөөд энэ нь пакетууд явдаг зам байх албагүй. Корпорацийн туннелээр хүрдэг корпорацийн шийдэгч нь загвартай нийцдэг; түүний гадна хүрдэг локал шийдэгч нийцэхгүй бөгөөд туннель нуух ёстой байсан нэрсийг илчилдэг. IPv6 нь хоёр дахь алдагдал: хос стект хост туннель зөвхөн IPv4-ээр зөөдөг очих газрууд руу IPv6 ашигласаар байна. Гэр бүлүүдийг тус тусад нь шалгаарай, учир нь зөвхөн IPv4 туннель IPv6 маршрут эсвэл шийдэгчийн талаар юу ч хэлэхгүй.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Шийдэгч болон IPv6 маршрутыг дээрээс хоёр дахь туннель овоолохын оронд санаатайгаар засаарай. Давхар инкапсуляци MTU-д ч зарцуулагддаг тул гинж боссны дараа хуудсууд гацах үед эхлээд бага дотоод MTU-г туршиж үзэх хэрэгтэй. Хурдан хариулдаг шийдэгч нь зөв гэдгийг нотлох баримт биш.