Mengapa laluan setempat mengalahkan laluan lalai VPN

Pencetak di meja terus berfungsi selepas terowong naik, manakala pelayan di pejabat lain senyap-senyap diselesaikan kepada sesuatu yang setempat. Kedua-dua tingkah laku datang daripada peraturan yang sama: laluan paling spesifik menang, dan prefiks yang bersambung terus adalah sespesifik mungkin. Biasanya itulah reka bentuk yang anda mahu, dan begitulah julat peribadi berganda mencuri alamat jauh. Membaca pilihan kernel dahulu mengubah kegagalan misteri menjadi perbandingan prefiks.

Prefiks bersambung lebih spesifik daripada laluan lalai

Terowong biasanya memasang laluan lalai atau satu set prefiks, manakala antara muka setempat membawa prefiks bersambung serta laluan ke seluruh LAN. Antara keduanya, padanan prefiks terpanjang yang menentukan, jadi destinasi di dalam prefiks LAN tidak pernah sampai ke terowong. Itulah sebabnya pencetak, halaman pentadbiran penghala dan NAS setempat kekal boleh dicapai semasa VPN hidup. Itulah juga sebabnya sumber jauh dalam julat yang bertindih pergi ke mesin yang salah.

Ruang alamat peribadi tidak unik, dan dua tapak memilih prefiks yang sama cukup biasa untuk dirancang. Apabila julat bertindih, jawapan setempat tiba dengan cepat dan kelihatan berwibawa, jadi kegagalan mudah disalah baca sebagai masalah log masuk. Destinasi itu memang menjawab, cuma bukan yang anda maksudkan.

Baca pilihan yang akan dibuat oleh kernel

Tanya kernel laluan mana yang akan digunakannya untuk destinasi tepat daripada membaca jadual dari atas. Kemudian cari peraturan dasar yang boleh memilih jadual lain. Dua arahan menjawab kedua-dua soalan dalam beberapa saat.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Output pertama menamakan antara muka, hop seterusnya dan alamat sumber yang akan digunakan oleh kernel, dan itulah jawapan yang penting. Nilai dev yang menunjuk ke jambatan setempat bermakna paket tidak pernah masuk ke terowong, apa pun yang didakwa oleh panel status klien VPN. Senarai jadual yang ditapis menunjukkan sama ada jadual lain memegang prefiks yang sama, dan senarai peraturan menunjukkan susunan jadual itu dirujuk. Peraturan dasar boleh menghantar prefiks melalui jadual tertentu walaupun jadual utama tidak bersetuju, jadi susunan itu sebahagian daripada jawapannya.

Akses setempat ialah kebenaran berasingan

Mempunyai laluan bukanlah sama dengan dibenarkan menggunakannya. Kebanyakan klien boleh menyekat komunikasi rangkaian setempat semasa terowong naik, dan tetapan itu ialah keputusan dasar, bukan artifak penghalaan. Apabila perkhidmatan berdekatan yang dipercayai tergolong dalam reka bentuk, hidupkan pilihan akses setempat yang disokong dan bukannya mencipta laluan. Apabila peranti berada di Wi-Fi awam, biarkan ia dimatikan.

Kedua-dua lapisan gagal secara berbeza. Laluan setempat yang disekat menghasilkan tamat masa walaupun laluan itu wujud, manakala laluan yang bertindih menghasilkan jawapan daripada hos yang salah. Membezakan keduanya hanya memerlukan satu pertanyaan dan menjimatkan satu petang perubahan tembok api, dan susunan penghantaran diterangkan dalam nota penghantaran strongSwan.

Betulkan pertindihan tanpa menimbun laluan hos

Laluan hos untuk satu alamat kelihatan membetulkan pertindihan dan gagal pada saat alamat kedua dalam julat yang sama diperlukan. Dua puluh daripada itu kemudiannya, tiada siapa boleh mengatakan prefiks mana yang berwibawa. Pembetulan yang tahan lama ialah perubahan pengalamatan, topologi terdokumen yang mengelakkan julat berganda, atau terjemahan di satu hujung. Setiap satu mengambil masa perancangan sekali dan bukannya penyelenggaraan selamanya.

Jika laluan hos sementara benar-benar diperlukan, catatkan sebab, pemilik dan tarikh di sebelahnya supaya ia boleh dibuang kemudian. Kemudian uji alamat dan perkhidmatan yang tepat serta destinasi awam, kerana perubahan akses setempat yang senyap-senyap mengecualikan aplikasi tidak berkaitan daripada terowong lebih buruk daripada kerosakan asal. Simpan prefiks setempat dan prefiks jauh ditulis secara berasingan; tabiat itu menghalang ping setempat yang berfungsi daripada diedarkan sebagai bukti bahawa pejabat jauh boleh dicapai.