Dua klien VPN serentak: siapa yang menang laluan lalai?

Menjalankan dua klien VPN serentak ialah perdebatan penghalaan, bukan tetapan privasi. Terowong yang memiliki laluan lebih khusus menerima trafik, dan yang satu lagi kekal bersambung tetapi melahu. Gerbang korporat kemudian melihat sambungan yang tiba dari jalan keluar peribadi, manakala klien korporat pada mesin anda masih melihat setiap penyesuai. Memutuskan fakta mana antara dua ini yang penting ialah keseluruhan latihan.

Jadual laluan memilih satu pemenang

Tangkap jadual sebelum dan selepas klien korporat bermula, dan baca lajur antara muka dan bukan hanya destinasi. Laluan lalai biasa dari terowong luar mudah dialihkan, kerana pasangan /1 lebih khusus daripada /0. Pasangan literal 0.0.0.0/1 dan 128.0.0.0/1 meliputi seluruh ruang IPv4 dalam dua separuh dan mengalahkan mana-mana lalai tunggal. Selepas dipasang, terowong luar masih kelihatan bersambung dan tidak membawa apa-apa.

ip route show default
ip route show | grep -E '^(0.0.0.0/1|128.0.0.0/1)'

Penghalaan dasar boleh mengatasi jadual utama sepenuhnya, jadi baca peraturan dan juga laluan. Peraturan yang menghantar trafik bertanda ke jadual lain menang sebelum jadual utama dirujuk. Begitulah satu aplikasi boleh kekal pada pautan fizikal sementara semua yang lain menggunakan terowong.

ip rule show

Windows memutuskannya dengan metrik

Dalam Windows pemenangnya ialah laluan dengan metrik terendah untuk destinasi, dan dua klien boleh kedua-duanya memasang laluan lalai dengan metrik berbeza. Baca jadual dan konfigurasi antara muka bersama-sama, kerana penyesuai dengan metrik lebih rendah bukan selalu yang anda jangkakan. Klien yang juga menetapkan metrik antara muka boleh menggerakkan lalai tanpa menambah satu laluan pun. Penyesuai yang kalah kekal hidup dan semata-mata tidak menerima apa-apa.

route print -4
Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4DefaultGateway

Bandingkan kedua-dua output dan namakan antara muka yang memiliki 0.0.0.0/0. Jika kedua-dua klien menuntutnya, metrik yang menentukan, sebab itulah ujian susunan sambungan boleh kelihatan tidak konsisten merentas mesin. Jika tiada output menunjukkan gerbang lalai, klien tidak berjalan dalam terowong penuh dan hujah rantaian tidak lagi relevan.

Dua pemerhati, dua pandangan berbeza

Gerbang jauh melihat satu sambungan yang tiba dari jalan keluar luar serta apa sahaja yang klien teruskan ke terowongnya. Klien tempatan melihat penyesuai, laluan dan kewujudan terowong lain, kerana ia berjalan dengan keistimewaan untuk menciptanya. Memisahkan pandangan itu ialah intinya; mendakwa klien tidak dapat menyedarinya bukan.

Andaikan klien boleh menyenaraikan apa sahaja yang dikehendakinya, dan rancang untuk pandangan gerbang sebaliknya. Reka bentuk yang bergantung pada klien terus buta hanya satu kemas kini daripada rosak.

DNS dan IPv6 ialah tempat rantaian bocor

DNS mengikut tetapan penyelesai yang menang, dan itu bukan semestinya laluan yang dilalui paket. Penyelesai korporat yang dicapai melalui terowong korporat adalah konsisten dengan reka bentuk; penyelesai tempatan yang dicapai di luarnya tidak, dan ia mendedahkan nama yang sepatutnya disembunyikan oleh terowong. IPv6 ialah kebocoran kedua: hos dwi-timbunan terus menggunakan IPv6 ke destinasi yang terowong hanya membawa melalui IPv4. Periksa keluarga secara berasingan, kerana terowong hanya-IPv4 tidak berkata apa-apa tentang laluan atau penyelesai IPv6.

ip -6 route show default
resolvectl status | grep -A2 'DNS Servers'

Betulkan penyelesai dan laluan IPv6 secara sengaja daripada menimbun terowong kedua di atasnya. Pengekapsulan berganda juga menelan MTU, jadi MTU dalaman yang lebih kecil ialah perkara pertama yang perlu dicuba apabila halaman tersekat selepas rantaian naik. Penyelesai yang menjawab dengan pantas bukan bukti bahawa ia penyelesai yang betul.