Uruchomienie drugiego VPN zastępuje stan pierwszego

Dwa klienty, dwie ikony połączenia i przekonanie, że ruch przechodzi teraz przez oba. Porównaj to przekonanie z tym, na co każda platforma faktycznie pozwala. Telefon zwykle ma dokładnie jedno miejsce na usługę VPN; komputer może uruchomić kilka klientów, które walczą o te same trasy i ten sam resolver. Różnica między tymi dwiema sytuacjami wyjaśnia większość zgłoszeń o VPN, który pada, gdy startuje inny.

Ikony opisują procesy, a nie łańcuch.

Jedno miejsce w telefonie, kilku pretendentów na komputerze

W Androidzie platforma oferuje model usługi VPN z jednym aktywnym VPN na profil użytkownika, więc uruchomienie drugiego zatrzymuje pierwszy. To system egzekwuje własną regułę, a nie błąd w którymkolwiek kliencie. Na komputerze kilka klientów może działać jednocześnie, a wtedy konkurują o tablicę routingu, reguły polityki, konfigurację resolvera i interfejsy wirtualne. Oba wyniki to platforma działająca zgodnie z projektem.

Żaden z tych wyników sam w sobie nie tworzy zagnieżdżonego tunelu. Łańcuch wymaga, aby jeden tunel przenosił zaszyfrowane pakiety drugiego, a to architektura, nie przypadek kolejności.

Co nadpisuje drugi klient

Drugi klient zwykle instaluje trasę domyślną, dodaje własne reguły i narzuca własny resolver. Pierwszy może przetrwać jako proces bez ruchu albo zachować trasę, która już nie wygrywa. Trasy specyficzne dla domen są zwykłą ofiarą, dlatego niektóre cele nadal działają, a inne zawodzą. Widocznym objawem jest rozłączenie, a rzeczywistym stanem jest częściowe zastąpienie.

Sprawdzenie adresu IP wyjścia tego nie ujawni. Podaje jeden adres dla jednego celu i nic nie mówi o tym, które trasy nadpisano ani który resolver teraz odpowiada. Aby zobaczyć szkody, przeczytaj tablicę routingu i stan resolvera.

Zagnieżdżanie to projekt, a nie kolejność kliknięć

Jeśli zagnieżdżanie jest zamiarem, udokumentuj zewnętrzną ścieżkę każdego punktu końcowego, jego politykę awarii i konsekwencje dla MTU. Zdecyduj, co się stanie, gdy zewnętrzny tunel padnie, podczas gdy wewnętrzny nadal uważa, że jest połączony. Uruchamianie klientów w szczęśliwej kolejności nie jest konfiguracją, bo następna aktualizacja lub ponowne połączenie zmieni ich kolejność. Zagnieżdżony układ wymaga takiej samej staranności jak każda inna topologia.

Gdy jedno połączenie służy do pracy, a drugie jest prywatne, oprzyj się na izolacji lub zarządzanym układzie, który obsługuje platforma. Wyrywanie kontroli korporacyjnych nie jest strategią rozdzielenia.

Weryfikuj za pomocą aplikacji, nie ikony

Przetestuj aplikacje, które naprawdę mają znaczenie, z każdego kontekstu, którego zamierzasz używać, i uwzględnij w teście zachowanie resolvera oraz ponowne połączenia. Końcowy adres wyjścia nie może zidentyfikować każdej nadpisanej trasy, a zielona ikona nie może zidentyfikować żadnej z nich. Zapisz, kto jest właścicielem połączenia i jaka kombinacja jest rzeczywiście obsługiwana.

Jeśli produkt wyraźnie nie obsługuje współistnienia z innym, przypadkowa zmiana trasy lub uprawnień nie da łatwej w utrzymaniu wdrożenia. Da takie, które działa do następnej aktualizacji.

Zapisz, który klient jest właścicielem trasy domyślnej, który resolver odpowiada i co się dzieje, gdy każdy z nich się zatrzyma.