Dua klien VPN, satu jadual penghalaan: siapa dapat laluan lalai

Nampaknya dua klien VPN berebut soket yang sama, dan pembetulan yang jelas mesti menyahpasang salah satu. Pada praktiknya kedua-duanya jarang menyentuh soket yang sama. Setiap sambungan menulis semula jadual penghalaan sistem pengendalian, dan profil terowong penuh menuntut laluan lalai. Yang terakhir bersambung cenderung menang, sebab itulah gejalanya kelihatan berpindah antara klien.

Konfliknya hidup dalam jadual penghalaan

Penyesuai maya tambah laluan lalai ialah cara terowong penuh menangkap trafik. Apabila klien kedua memasang laluan lalainya sendiri, entri lama diganti atau diturunkan oleh metrik, dan setiap destinasi kini melalui terowong yang lebih baharu. Klien pertama kekal bersambung dan masih memaparkan ikon hijau, jadi antara muka hidup manakala laluannya hilang. Pemisahan antara keadaan sambungan dan keadaan penghalaan itulah yang mengelirukan tingkah laku ini.

Klien ialah penyunting satu jadual yang dikongsi. Mengetahui suntingan mana yang berlaku terakhir menjelaskan hampir setiap gejala.

Baca terowong mana yang memiliki laluan semasa

Semak keputusan sebenar daripada mempercayai klien yang melaporkan bersambung. Tanya sistem antara muka mana yang akan membawa destinasi tertentu.

ip route get 10.20.0.5
route print -4

Perintah pertama menamakan antara muka dan alamat sumber untuk satu destinasi, dan itulah soalan tepat yang anda ambil peduli. Dump laluan menunjukkan entri lalai yang bersaing dan metriknya pada Windows, jadi anda nampak mana yang menang sekarang. Jalankan carian untuk hos dalam setiap rangkaian jauh, kerana satu destinasi boleh betul sementara rangkaian lain tidak dapat dicapai. Jika jawapannya menamakan terowong yang salah, menyambung semula tidak akan membantu; dasar laluan mesti diubah.

Hentikan klien kedua daripada menuntut segala-galanya

Satu klien patut memiliki laluan lalai, dan yang lain hanya membawa awalan sendiri. OpenVPN klien boleh menolak apa yang disorong oleh pelayan.

pull-filter ignore "redirect-gateway"
ip route get 10.30.4.10

route-nopull mengabaikan setiap laluan yang disorong, manakala pull-filter ignore "redirect-gateway" hanya membuang direktif laluan lalai dan mengekalkan DNS serta pilihan lain yang disorong. Pilih antara keduanya berdasarkan berapa banyak konfigurasi pelayan yang masih anda mahu, kemudian tambah awalan khusus yang diperlukan rangkaian kedua. Ingat DNS, kerana penyelesai yang disorong oleh terowong yang tidak membawa carian tidak mengembalikan apa-apa. Uji satu hos yang dikenali dalam setiap rangkaian dan sahkan alamat sumber yang dilihat oleh pihak jauh.

Subnet yang bertindih tidak boleh dielakkan

Apabila kedua-dua rangkaian menerbitkan awalan yang sama, kernel menyimpan satu entri untuk dua tempat berbeza dan mesti memilih. Laluan hos tidak boleh mencipta perbezaan yang hilang, dan pelarasan metrik juga tidak. Nomborkan semula satu pihak, atau biar pentadbirnya menterjemah julat jauh supaya awalan berbeza. Semak subnet sebenar sebelum menyalahkan klien, kerana lalai penghala rumah 192.168.1.0/24 lebih kerap berlanggar dengan julat pejabat daripada yang dijangka. Catat kedua-dua julat dalam tiket supaya perubahan seterusnya tidak mencipta semula pertindihan.

Pisahkan juga dua matlamat: mencapai kedua-dua rangkaian ialah masalah penghalaan, manakala merantai terowong untuk privasi ialah reka bentuk lain dengan pengendali tambahan pada laluan. Jangan gunakan satu untuk menyelesaikan yang lain.