Kvifor ei lokal rute slår standardruta til VPN-en

Skrivaren på pulten held fram med å verke etter at tunnelen er oppe, medan ein tenar på den andre kontoret stille blir løyst opp til noko lokalt. Båe åtferdene kjem frå same regelen: den mest spesifikke ruta vinn, og eit direkte tilkopla prefiks er så spesifikt som det kan bli. Det er vanlegvis designet du vil ha, og det er òg slik eit duplikat privatområde stel ein ekstern adresse. Les du valet til kjernen fyrst, blir ein mystisk feil til ein prefikssamanlikning.

Eit tilkopla prefiks er meir spesifikt enn ei standardrute

Ein tunnel installerer vanlegvis ei standardrute eller eit sett med prefiks, medan eit lokalt grensesnitt ber eit tilkopla prefiks pluss ei rute til heile LAN-et. Mellom dei avgjer den lengste prefiksmatchinga, så ein destinasjon inne i LAN-prefikset når aldri tunnelen. Difor blir ein skrivar, administrasjonssida til ein ruttar og ein lokal NAS verande tilgjengelege medan VPN-en er oppe. Det er òg difor ein ekstern ressurs i eit overlappande område går til feil maskin.

Privat adresseområde er ikkje unikt, og at to stader vel same prefiks er vanleg nok til å planleggje for. Når områda overlappar, kjem det lokale svaret raskt og verkar autoritativt, så feilen blir lett lesen som eit innloggingsproblem. Destinasjonen svara, berre ikkje den du meinte.

Les valet kjernen ville teke

Spør kjernen kva rute han ville bruke for den nøyaktige destinasjonen i staden for å lese tabellen frå toppen. Sjå deretter etter policyreglar som kan velje ein annan tabell. To kommandoar svarar på båe spørsmåla på nokre sekund.

ip route get 10.20.30.41
ip route show table all | grep -E '10\.|default'
ip rule show

Den fyrste utskrifta nemner grensesnittet, neste hopp og kjeldeadressa kjernen ville bruke, og det er svaret som tel. Ein dev-verdi som peikar på den lokale brua betyr at pakken aldri går inn i tunnelen, uansett kva statuspanelet til VPN-klienten påstår. Den filtrerte tabelloversikta viser om ein annan tabell held same prefiks, og regellista viser rekkjefølgja desse tabellane blir konsulterte i. Ein policyregel kan senda eit prefiks gjennom ein bestemt tabell sjølv når hovudtabellen er usamd, så den rekkjefølgja er ein del av svaret.

Lokal tilgang er ei eiga løyve

Å ha ei rute er ikkje det same som å ha løyve til å bruke ho. Dei fleste klientar kan blokkere lokal nettverkskommunikasjon medan tunnelen er oppe, og den innstillinga er eit policyvedtak, ikkje eit rutingartefakt. Når ein klarert teneste i nærleiken høyrer heime i designet, slå på det støtta lokal tilgang-alternativet i staden for å finne opp ruter. Når eininga er på offentleg Wi-Fi, lat ho vere av.

Dei to laga feilar ulikt. Ein blokkert lokal veg gir tidsavbrot sjølv om ruta finst, medan ei overlappande rute gir eit svar frå feil vert. Å skilje dei kostar éi spørjing og sparer ein ettermiddag med brannmur-endringar, og vidaresendingsordninga er skildra i notata til strongSwan om vidaresending.

Rett opp ein overlapp utan å stable vertsruter

Ei vertsrute for éin adresse ser ut til å rette opp ein overlapp og feilar i det augneblinken ein annan adresse i same område trengst. Tjue av dei seinare kan ingen seie kva prefiks som er autoritativt. Dei varige løysingane er ei endring av adressering, ein dokumentert topologi som unngår det dupliserte området, eller omsetjing i den eine enden. Kvar av dei kostar planleggingstid éin gong i staden for vedlikehald for alltid.

Om ei mellombels vertsrute verkeleg er nødvendig, noter årsaka, eigaren og datoen ved sida av ho, slik at ho kan fjernast seinare. Test deretter den nøyaktige adressa og tenesta pluss ein offentleg destinasjon, fordi ei endring i lokal tilgang som stille utelèt urelaterte program frå tunnelen er verre enn den opphavlege feilen. Hald det lokale prefikset og det eksterne prefikset skrive opp kvar for seg; den vanen hindrar at ein fungerande lokal ping blir send rundt som prov på at det eksterne kontoret er tilgjengeleg.