Dlaczego kolejność adapterów nie decyduje o trasie VPN w Twoim laboratorium

To, że adapter 1 jest pierwszy na liście hiperwizora, to tylko kolejność wyświetlania, a tabela routingu gościa jej nie czyta. O ścieżce decydują prefiks, metryka i każda reguła polityki obowiązująca przed oboma. Dlatego dodanie adaptera mostkowego do VM laboratoryjnej może utworzyć drugą trasę domyślną, podczas gdy stary interfejs NAT nadal wyświetla się jako obecny i numerowany jako drugi. Efektem jest VM, która czasem korzysta z tunelu, a czasem nie, bez żadnej zmiany konfiguracji, która by to wyjaśniała.

Trzy warunki decydują o ścieżce

Trzy warunki to: który prefiks jest bardziej szczegółowy, co robią metryki, gdy prefiksy są równe, oraz jakie reguły gość zastosował po zmianie sprzętu. Na każde można odpowiedzieć jednym poleceniem i żaden nie dotyczy numeracji hiperwizora.

Właśnie ten ostatni punkt jest decyzją: jeśli nie potrafisz powiedzieć, który prefiks wygrywa dla własnego adresu punktu końcowego VPN, nie masz polityki routingu, tylko topologię, która dziś działa przypadkiem.

Warunek pierwszy: który prefiks wygrywa

Trasa do 10.8.0.0/24 wygrywa z trasą domyślną dla adresu w jej obrębie, niezależnie od metryk i kolejności adapterów. Dlatego klient VPN instalujący konkretną trasę nadal działa, nawet gdy pojawi się drugi adapter z niższą metryką: szczegółowość wygrywa, zanim rozważy się koszt. Sprawdź za pomocą ip route show tabelę, którą uważasz za używaną, a za pomocą ip route get 203.0.113.9 odpowiedź, której jądro naprawdę udzieliłoby dla konkretnego celu.

Własny adres punktu końcowego to najważniejszy test. Jeśli adres serwera VPN jest rozwiązywany przez świeżo dodany adapter mostkowy, tunel może nigdy nie zostać nawiązany albo zostanie nawiązany i utraci własną ścieżkę transportową. Pytaj konkretnie o ten adres, zamiast zakładać, że odpowiedzią jest interfejs tunelu.

Warunek drugi: co metryka robi, a czego nie

Jej rola jest węższa, niż większość oczekuje. Metryki rozstrzygają remisy między trasami do tego samego prefiksu; nie pozwalają szerszej trasie pokonać bardziej szczegółowej. Przy remisie preferowana jest mniejsza liczba, a różne systemy operacyjne liczą w przeciwnych kierunkach, dlatego porady kopiowane między Linuksem a Windowsem często przeczą same sobie.

W gościu ip route show wypisuje metrykę obok każdej trasy, a Get-NetRoute w Windowsie wypisuje InterfaceMetric oraz metrykę trasy. Czytaj oba, bo efektywna preferencja może być sumą, a nie jednym polem. Jeśli istnieją dwie trasy domyślne, to jest właśnie ustalenie: gość ma dwa wyjścia, a które wygrywa, zależy od liczb, które zmiana sprzętu może zmienić.

Warunek trzeci: co gość faktycznie zastosował

Konfiguracja to nie to samo co stan zastosowany. Nazwy interfejsów nie są stabilne podczas zmian sprzętu na każdej platformie, a konfiguracja dopasowana po nazwie może teraz nie dotyczyć niczego.

Sprawdzaj stan zastosowany, a nie zamierzony. ip -br link pokazuje interfejsy, które istnieją teraz, a na hoście z NetworkManagerem nmcli connection show pokazuje, który profil jest powiązany z którym urządzeniem. Profil, któremu nie udało się powiązać, pozostawia interfejs włączony bez adresacji, co wygląda jak problem routingu, a jest problemem nazewnictwa. Przywrócone migawki to pogarszają, bo zapisany stan gościa może odwoływać się do tożsamości adapterów, których nowy sprzęt już nie dostarcza.

Utrzymaj topologię laboratorium odtwarzalną

Zapisz zamierzone połączenia sieci wirtualnej razem z konfiguracją gościa, aby przypisanie roli do adaptera było opisane, a nie wywnioskowane z pozycji na liście.

Zwykle wystarczy nazwać cztery role: łącze prywatne, zarządzanie, transport zewnętrzny i tunel. Każda powinna w pliku odpowiadać konkretnemu adapterowi i konkretnemu interfejsowi gościa.

Następnie przetestuj rzeczywistą aplikację po zmianie sprzętu, restarcie lub przywróconej migawce i uwzględnij w tym teście trasę do punktu końcowego VPN. Jeśli VM bramy ma być jedynym wyjściem, sprawdź, czy VM testowa nie ma niechcianej drugiej trasy domyślnej, bo adapter mostkowy dodaje właśnie drugą trasę domyślną. Testuj z gościa, nie z konsoli hiperwizora, ponieważ oba mogą się nie zgadzać co do tego, który interfejs jest który.

Dokumentacja sieciowa VirtualBox opisuje tryby adapterów i to, do czego każdy z nich się podłącza, i to jest ta część, którą warto przeczytać przed dodaniem drugiego. Laboratorium, które wskazuje, który adapter obsługuje którą rolę, czyni zmianę trasy wyjaśnialną. Laboratorium, które polega na numeracji hiperwizora, czyni każdą zmianę eksperymentem.