Għala t-tieni tunnel VPN ikisser l-ewwel wieħed?

It-tieni klijent VPN jinstalla żewġ rotot nofs default u l-ewwel tunnel jidlam: aqra liema rotta tirbaħ, imbagħad aqsam skont il-profil, it-tabella jew in-namespace.

L-installazzjoni ta' tieni klijent VPN biex tasal għal netwerk wieħed tal-klijent hija l-mod tas-soltu kif jibda dan, u l-ewwel tunnel jidlam waqt li ż-żewġ klijenti jirrappurtaw suċċess. Kull klijent installa rotta default, it-tieni kienet aktar speċifika, u l-kernel issa qed isegwiha għal kollox ħlief il-konnessjoni ta' barra tal-ewwel tunnel stess. Xejn ma waqa' u l-ebda profil mhu ħażin. Rotta waħda ssostitwiet oħra, u s-soluzzjoni hija li tiddeċiedi liema tunnel għandu jkollu d-default.

Is-sintomu: it-tieni klijent jirbaħ bil-kwiet

OpenVPN: l-għażla redirect-gateway def1 ma tissostitwix 0.0.0.0/0. Hija żżid 0.0.0.0/1 u 128.0.0.0/1: flimkien ikopru kull indirizz IPv4, u kull prefiss jegħleb default sempliċi fit-tul. Id-default oriġinali jibqa' fit-tabella u ma jibqax jintuża għat-traffiku ordinarju, u rotta tal-host lejn is-server VPN iżżomm it-tunnel milli jaqbad il-pakketti ta' barra tiegħu stess. Iż-żewġ klijenti jagħmlu dan, u t-tieni sempliċement jinstalla l-par tiegħu aktar tard.

Għalhekk l-ewwel tunnel jidher mejjet minflok skonness. L-interface tiegħu hija attiva, il-kanal ta' kontroll tiegħu huwa ħaj, u l-ebda traffiku tal-applikazzjoni ma jasal aktar għalih. Il-lament oppost għandu l-istess push nieqes: telefon li jikkonnettja imma ma jibgħat xejn normalment jitkellem ma' server li qatt ma ħabbar redirect-gateway, għalhekk it-tagħmir iżomm id-default tiegħu stess u jasal biss għall-pool.

Ħu snapshot tar-rotot qabel u wara li jikkonnettja t-tieni klijent. Iż-żewġ nofs rotot li jidhru fit-tabella huma l-bidla kollha, u jispjegaw iż-żewġ ilmenti. Xejn ieħor fit-tabella m'għandu jiċċaqlaq biex jidher is-sintomu. Għalhekk it-tneħħija tat-tieni klijent tirrestawra l-ewwel wieħed mill-ewwel.

Aqra liema tunnel verament jirbaħ

Tiddeduċix ir-rebbieħ mill-ordni li fiha bdew il-klijenti jew mill-ikona fil-tray. Staqsi lill-kernel liema rotta juża għal destinazzjoni barra ż-żewġ netwerks privati, u aqra l-interface li terġa' lura.

ip route show
ip route get 198.51.100.24
route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.24

L-ewwel tnejn huma t-tweġiba ta' Linux u l-aħħar tnejn l-ekwivalenti ta' Windows. Mexxihom waqt li ż-żewġ tunnels huma attivi, imbagħad skonnettja wieħed u mexxihom mill-ġdid. Id-differenza bejn iż-żewġ output hija l-fatt li għandek bżonn qabel tagħżel soluzzjoni, u tieħu inqas ħin milli taqra l-log ta' wieħed mill-klijenti.

Irreġistra r-riżultat, inkluż l-isem tal-interface u l-prefiss li tqabbel. Ticket li jgħid li t-tieni VPN kisser l-ewwel huwa deskrizzjoni tas-sintomu, mhux dikjarazzjoni ta' routing li xi ħadd jista' jaġixxi fuqha. It-tfittxija tagħmilha fatt li l-inġinier li jmiss jista' jirriproduċi b'kmand wieħed.

Windows: iżżomm profil wieħed milli jkollu d-default

Windows iżomm profili maħżuna, u l-klijent integrat iħalli wieħed jiddependi fuq ieħor biex l-ewwel jinġieb awtomatikament meta t-tieni jsejjaħ. Il-profil li kkonnettja l-aktar reċentement għandu tendenza jżomm id-default, għalhekk is-sid prattiku huwa l-aħħar sejħa u mhux l-ewwel. Agħti lil kull profil ir-rotot push tiegħu stess u ixgħel split tunneling għal dak li m'għandux ikollu d-default.

Set-VpnConnection -Name "Contoso" -SplitTunneling $true
rasdial Contoso

Split tunneling jibdel dan: fit-tabella jidħlu biss il-prefissi mbuttati mis-server, li jħalli d-default fl-ewwel tunnel. Id-disinn xorta jonqos jekk iż-żewġ servers jimbuttaw rotta default, għax allura tirbaħ l-aħħar konnessjoni u l-ebda setting fuq in-naħa tal-klijent ma jbiddel dan. Sejjaħ il-push fuq in-naħa tas-server jew aċċetta sid wieħed.

Profili mibdija mill-applikazzjoni huma funzjoni oħra u jiswa li tkun taf: profil ta' Windows jista' jibda meta jinqabad esegwibbli msemmi, bil-filtri tat-traffiku jiddeċiedu x'jgħaddi. Din hija setting tal-profil u mhux regola tal-firewall, u ssolvi problema differenti mill-kunflitt tar-rotta default.

Linux: żomm it-tieni tunnel barra mit-tabella prinċipali

It-tħaddim ta' żewġ istanzi openvpn --config fuq magna waħda jqiegħed iż-żewġ klijenti fl-istess tabella, u tliet għażliet jifirduhom b'iżolament dejjem akbar. L-ifjaħ hija li żżomm lit-tieni klijent milli jeditja t-tabella xejn, billi tuża route-nopull b'rotot espliċiti, jew skript route-up li jinstalla biss dak li beħsiebek. Imbagħad it-tieni tunnel iġorr eżattament il-prefissi li ssemmi u xejn ieħor. Imbagħad int tiddeċiedi liema prefissi jmorru fejn minflok ma tiskoprihom wara.

Ir-routing tal-politika huwa l-għażla tan-nofs. Regola tagħżel tabella separata għal indirizz sors wieħed jew marka tal-firewall, u dik it-tabella ġġorr ir-rotot tat-tieni tunnel. Il-filtrazzjoni tal-passaġġ maqlub hija n-nassa hawn, għax tweġiba li tasal fuq interface differenti minn dik li t-tabella tagħżel tinqabad barra, għalhekk iċċekkja s-setting rp_filter qabel ma tikkonkludi li t-tunnel huwa miksur.

ip rule add from 10.44.7.0/24 table 100
ip route add default dev tun1 table 100
sysctl net.ipv4.conf.all.rp_filter

In-namespaces tan-netwerk huma l-għażla l-aktar tqila u l-aktar nadifa. Ibda t-tieni klijent ġewwa ip netns, agħtih par veth, u idħol f'dak in-namespace biex tużah. L-interferenza tisparixxi għax kull namespace għandu t-tabelli tiegħu minflok jaqsam waħda, li jiswa l-konfigurazzjoni żejda meta ż-żewġ tunnels għandhom jibqgħu attivi għal ġimgħat.

Skont l-applikazzjoni, u l-katina bħala problema separata

Xi drabi programm wieħed biss għandu juża t-tieni tunnel. Fuq Linux, ir-routing tal-politika skont l-utent, cgroup jew port jilħaq dak ir-riżultat, u destinazzjoni waħda tista' tiġi ppinnjata ma' interface mingħajr ma tmiss id-default xejn. Applikazzjoni li tippinja s-socket tagħha ma' interface waħda qatt ma tikkonsulta t-tabella tar-routing, għalhekk launcher jista' jkompli juża l-adapter fiżiku sakemm jintgħażel indirizz fis-settings tiegħu stess.

Il-katina hija operazzjoni differenti mill-ġiri ta' żewġ tunnels ħdejn xulxin. Li tkatnar A fuq B ifisser li l-indirizz tas-server ta' ġewwa għandu jkun aċċessibbli minn ġewwa t-tunnel ta' barra. Il-klijent ta' barra wkoll m'għandux jara l-pakketti encrypted tal-klijent ta' ġewwa bħala tnixxija. Klijent wieħed ġewwa magna virtwali hija l-verżjoni goffa iżda affidabbli; it-tnejn fuq host wieħed jeħtieġu x-xogħol tar-routing hawn fuq flimkien ma' passaġġ ta' barra lejn is-server ta' ġewwa li qatt ma jidħol fit-tunnel ta' ġewwa.

Ikteb is-sid tad-default, il-lista tal-prefissi li ġġorr kull tunnel, u l-passaġġ DNS. Dawk it-tliet fatti jibdlu l-inċident li jmiss f'riċerka minflok investigazzjoni.

Artikli relatati