एकाच वेळी दोन VPN क्लायंट: डीफॉल्ट रूट कोण जिंकतो?

एकाच वेळी दोन VPN क्लायंट चालवणे ही राउटिंगची चर्चा आहे, गोपनीयतेची सेटिंग नाही। ज्या टनेलकडे अधिक विशिष्ट रूट आहे तिलाच ट्रॅफिक मिळते, आणि दुसरी जोडलेली राहते पण निष्क्रिय असते। कॉर्पोरेट गेटवे मग वैयक्तिक एक्झिटमधून येणारे कनेक्शन पाहते, तर तुमच्या मशीनवरील कॉर्पोरेट क्लायंट अजूनही प्रत्येक अडॅप्टर पाहतो। या दोन तथ्यांपैकी कोणते महत्त्वाचे आहे हे ठरवणे हाच संपूर्ण सराव आहे।

रूट टेबल एक विजेता निवडते

कॉर्पोरेट क्लायंट सुरू होण्यापूर्वी आणि नंतर टेबल कॅप्चर करा, आणि फक्त गंतव्याऐवजी इंटरफेस स्तंभ वाचा। बाह्य टनेलमधील साधा डीफॉल्ट रूट हटवणे सोपे आहे, कारण /1 जोडी /0 पेक्षा अधिक विशिष्ट आहे। शब्दशः जोडी 0.0.0.0/1 आणि 128.0.0.0/1 संपूर्ण IPv4 जागा दोन भागांत व्यापते आणि कोणत्याही एकल डीफॉल्टवर मात करते। इंस्टॉल झाल्यावरही बाह्य टनेल जोडलेली दिसते आणि काहीही वाहत नाही।

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

धोरण-आधारित राउटिंग मुख्य टेबल पूर्णपणे ओलांडू शकते, म्हणून नियम आणि रूट दोन्ही वाचा। चिन्हांकित ट्रॅफिक दुसऱ्या टेबलकडे पाठवणारा नियम मुख्य टेबल पाहण्यापूर्वीच जिंकतो। अशा प्रकारे एक अनुप्रयोग भौतिक लिंकवर राहू शकतो, बाकी सर्व टनेल वापरत असताना।

ip rule show

Windows हे मेट्रिकने ठरवते

Windows मध्ये गंतव्यासाठी सर्वात कमी मेट्रिक असलेला रूट विजेता असतो, आणि दोन क्लायंट वेगवेगळ्या मेट्रिकसह डीफॉल्ट रूट इंस्टॉल करू शकतात। टेबल आणि इंटरफेस कॉन्फिगरेशन एकत्र वाचा, कारण कमी मेट्रिक असलेला अडॅप्टर नेहमी तुम्ही अपेक्षित असलेला नसतो। इंटरफेस मेट्रिकही सेट करणारा क्लायंट एकही रूट न जोडता डीफॉल्ट हलवू शकतो। हरलेला अडॅप्टर सुरू राहतो आणि फक्त काहीही मिळवत नाही।

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

दोन्ही आउटपुटची तुलना करा आणि 0.0.0.0/0 असलेल्या इंटरफेसचे नाव सांगा। दोन्ही क्लायंट दावा करत असतील तर मेट्रिक ठरवते, म्हणूनच कनेक्शन क्रमाची चाचणी वेगवेगळ्या मशीनवर विसंगत दिसू शकते। कोणतेही आउटपुट डीफॉल्ट गेटवे दाखवत नसेल, तर क्लायंट पूर्ण टनेलमध्ये चालत नाही आणि साखळीचा युक्तिवाद निरर्थक आहे।

दोन निरीक्षक, दोन वेगळे दृष्टिकोन

दूरचा गेटवे बाह्य एक्झिटमधून येणारे एक कनेक्शन आणि क्लायंट त्याच्या टनेलमध्ये पाठवत असलेले सर्व पाहतो। स्थानिक क्लायंट अडॅप्टर, रूट आणि दुसऱ्या टनेलचे अस्तित्व पाहतो, कारण तो ते तयार करण्याच्या अधिकाराने चालतो। हे दृष्टिकोन वेगळे करणे हाच मुद्दा; क्लायंटला लक्षात येऊ शकत नाही असे म्हणणे नाही।

क्लायंटला हवे ते मोजता येते असे गृहीत धरा, आणि त्याऐवजी गेटवेच्या दृष्टिकोनासाठी नियोजन करा। क्लायंट अंधुक राहण्यावर अवलंबून असलेली रचना तुटण्यापासून एका अपडेटवर आहे।

DNS आणि IPv6 ही साखळी गळण्याची ठिकाणे आहेत

DNS जिंकलेल्या रिझोल्व्हर सेटिंगचे अनुसरण करते, आणि तो पॅकेट जाणारा मार्ग असणे आवश्यक नाही। कॉर्पोरेट टनेलमधून पोहोचणारा कॉर्पोरेट रिझोल्व्हर रचनेशी सुसंगत आहे; त्याबाहेरून पोहोचणारा स्थानिक रिझोल्व्हर नाही, आणि तो टनेलने लपवायची असलेली नावे उघड करतो। IPv6 ही दुसरी गळती आहे: दुहेरी स्टॅक होस्ट टनेल फक्त IPv4 वरून वाहून नेणाऱ्या गंतव्यांकडे IPv6 वापरत राहतो। कुटुंबे वेगळी तपासा, कारण फक्त-IPv4 टनेल IPv6 रूट किंवा रिझोल्व्हरबद्दल काहीही सांगत नाही।

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

रिझोल्व्हर आणि IPv6 रूट जाणीवपूर्वक दुरुस्त करा, वर दुसरे टनेल रचण्याऐवजी। दुहेरी एन्कॅप्स्युलेशन MTU देखील खर्च करते, म्हणून साखळी उभी राहिल्यावर पाने अडकल्यास लहान आंतरिक MTU प्रथम प्रयत्न करण्यासारखे आहे। लवकर उत्तर देणारा रिझोल्व्हर तो योग्य आहे याचा पुरावा नाही।